在当今企业网络环境中，远程办公和分支机构互联已成为常态，而保障数据传输的安全性至关重要，IPsec（Internet Protocol Security）作为一种广泛采用的网络安全协议，能够为通过公共网络（如互联网）传输的数据提供加密、完整性验证和身份认证等安全保障，作为网络工程师，熟练掌握如何在Cisco路由器上配置IPsec VPN是构建安全通信通道的核心技能之一。
本文将以Cisco IOS路由器为例，详细讲解如何配置站点到站点（Site-to-Site）IPsec VPN，适用于两个分支机构或总部与分支机构之间的安全连接，整个过程分为五个主要步骤：规划、IKE策略配置、IPsec策略配置、接口配置以及测试验证。
第一步：网络规划
在配置前需明确以下信息：两端路由器的公网IP地址（如1.1.1.1和2.2.2.2）、私有子网范围（如192.168.1.0/24 和 192.168.2.0/24），以及预共享密钥（PSK），确保两端设备之间能互相ping通公网IP,这是建立VPN的前提条件。
第二步：配置IKE（Internet Key Exchange）策略
IKE用于协商IPsec安全关联（SA），通常使用IKEv1或IKEv2，以IKEv1为例,在路由器上执行如下命令：
crypto isakmp policy 10
encryp aes 256
authentication pre-share
group 5
lifetime 86400这定义了一个优先级为10的IKE策略，使用AES-256加密算法、预共享密钥认证方式，并指定Diffie-Hellman组5,密钥生命周期为一天。
第三步：配置预共享密钥
在两端路由器上分别配置相同的PSK：
crypto isakmp key mysecretkey address 2.2.2.2其中mysecretkey为双方约定的密钥，address为对端公网IP。
第四步：配置IPsec安全策略
定义保护的数据流和加密参数：
crypto ipsec transform-set MY_TRANSFORM esp-aes 256 esp-sha-hmac
mode tunnel该策略启用AES-256加密和SHA哈希校验,工作在隧道模式下。
第五步：创建Crypto Map并绑定到接口
将上述策略应用到物理接口（如GigabitEthernet0/0）：
crypto map MY_MAP 10 ipsec-isakmp
set peer 2.2.2.2
set transform-set MY_TRANSFORM
match address 100其中access-list 100定义了需要加密的流量（例如源192.168.1.0/24，目的192.168.2.0/24）。
最后一步：激活接口并测试
将crypto map绑定到接口：
interface GigabitEthernet0/0
crypto map MY_MAP完成配置后，使用show crypto session查看会话状态，确认隧道已建立，若出现“ACTIVE”状态，则表示IPsec隧道成功激活,两端主机可安全通信。
通过以上步骤，我们成功在Cisco路由器上部署了站点到站点IPsec VPN，此方案具备高安全性、标准化且易于维护，适合中大型企业网络部署，后续可根据需求扩展为动态路由（如OSPF over IPsec）或启用NAT穿透（NAT-T）功能,进一步提升灵活性和可用性。
半仙加速器-海外加速器|VPN加速器|vpn翻墙加速器|VPN梯子|VPN外网加速
