基于IPSec的VPN实验报告，配置与测试详解

在当今网络环境中，虚拟专用网络（Virtual Private Network, VPN）已成为企业远程办公、跨地域分支机构互联以及安全数据传输的重要手段，本次实验旨在通过实际操作，掌握基于IPSec协议的站点到站点（Site-to-Site）VPN的基本配置流程，并验证其连通性与安全性，实验环境使用Cisco Packet Tracer模拟器搭建，包含两台路由器（R1和R2），分别代表两个不同地理位置的网络节点,中间通过公共互联网连接。

实验目标包括：

1. 在两台路由器上配置IPSec策略，实现加密通信；
2. 配置访问控制列表（ACL）以定义受保护的数据流；
3. 使用IKE（Internet Key Exchange）协议自动协商密钥和安全参数；
4. 测试隧道建立后的端到端连通性,并验证流量加密状态。

实验步骤如下：
在R1和R2上分别配置接口IP地址，例如R1的G0/0接口为192.168.1.1/24，R2的G0/0接口为192.168.2.1/24，用于模拟各自局域网的出口，在两台路由器之间配置静态路由或默认路由，确保它们能互相访问对方的子网，进入IPSec配置阶段：创建一个IPSec策略，指定加密算法（如AES-256）、哈希算法（如SHA1）以及认证方式（预共享密钥）,在R1上配置如下命令：

crypto isakmp policy 10
 encryp aes 256
 hash sha
 authentication pre-share
 group 2

接着设置预共享密钥：

crypto isakmp key mysecretkey address 192.168.2.1

随后，定义IPSec transform set并绑定到crypto map：

crypto ipsec transform-set MYTRANSFORM esp-aes 256 esp-sha-hmac
crypto map MYMAP 10 ipsec-isakmp
 set peer 192.168.2.1
 set transform-set MYTRANSFORM
 match address 100

其中ACL 100用于过滤需要加密的流量，

access-list 100 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255

将crypto map应用到R1的外网接口（如Serial0/0/0），R2同样配置对称内容,但peer地址应为R1的IP。

完成配置后，通过show crypto isakmp sa和show crypto ipsec sa命令检查IKE和IPSec安全关联是否成功建立，若显示“ACTIVE”，说明隧道已激活，随后，在R1的内网PC（如192.168.1.10）ping R2的内网PC（如192.168.2.10），若能通且无丢包,则证明IPSec隧道工作正常。

为进一步验证安全性，可使用Wireshark抓包分析，在未加密前，流量为明文；启用IPSec后，抓包显示原始数据被封装在ESP协议中，无法直接读取,证实了加密的有效性。

本次实验不仅加深了我对IPSec协议工作机制的理解，也提升了实际部署能力，对于网络工程师而言，掌握此类技术是构建安全网络架构的基础，未来可拓展至GRE over IPSec、SSL/TLS VPN等更复杂场景,进一步提升网络安全性与灵活性。

半仙加速器app