大家好，今天我们来学习交流一下Cisco路由器Easy VPN的配置。

通过本文实验，主要了解为以下几点

1、掌握如何在路由器上配置 Easy VPN。

2、掌握 VPN Client 的使用。

实验环境

1、PC 机1台、服务器 1 台；

2、思科 2811 路由器4 台；

3、软件工具：Cisco PT 5.3-6.0、Windows XP/7/10 操作系统。

实验参考拓扑

实验内容

本项目中路由器 ISP 模拟 Internet，思科路由器 Remote模拟出差员工所在的酒店，酒店通常会采用 NAT 实现上网， 路由器 Enterprice和 Center 模拟企业内部网络; 要求实现员工在外地酒店内能够和企业总部的网通信，员工的笔记本上要安装 VPN客户端软件。

实验参考步骤

（1）IP 地址及路由配置

在 4台路由器上配置 IP地址，测试各直接链路的连通性，并配置路由和 NAT

Remote(config)#ip route 0.0.0.0 0.0.0.0 serial0/0/0

Enterprise(config)#ip route 0.0.0.0 0.0.0.0 serial0/0/0

在企业总部内部配置 RIPv2路由协议

Enterprise(config)#router rip

Enterprise(config-router)#version 2

Enterprise(config-router)#no auto-summary

Enterprise(config-router)#network 172.16.0.0

Enterprise(config-router)#redistribute static //把静态路由发布给路由器Center，静态路由包含了默认路由以及 VPN客户连通后自动产生的主机路由

Center(config)#router rip

Center(config-router)#version 2

Center(config-router)#no auto-summary

Center(config-router)#network 172.16.0.0

酒店通常会使用 NAT 上网

Remote(config)#iinterface serial0/0/0

Remote(config-if)#ip nat outside

Remote(config)#iinterface fastethernet0/0

Remote(config-if)#ip nat inside

Remote(config)#access-list 1 permit 192.168.1.0 0.0.0.255

Remote(config#ip nat inside source list 1 serial0/0/0 overload

在笔记本上配置 IP 地址为 192.168.1.2/24，网关为：192.168.1.1，测试能够 ping 通模拟 VPN网关的路由器 Enterprise（218.30.1.2）。

（2）在路由器 Enterprise上配置 Easy VPN

1）定义 isakmp(Internet 安全关联和密钥管理协议 （ 第一阶段 IPSEC）

Enterprise(config)#crypto isakmp policy 1 //定义 isakmp策略

Enterprise(config-isakmp)#encrytions 3des //配置 isakmp 采用什么加密算法，可以选择 DES、3DES 和 AES

Enterprise(config-isakmp)#hash md5 //配置 isakmp 采用什么 HASH 算法，可以选择 MD5和 SHA

Enterprise(config-isakmp)#authentication pre-share // 配置 isakmp 采用什么身份认证算法，这里采用预共享密码进行认证。

Enterprise(config-isakmp)#group 2 //配置isakmp采用什么密钥交换算法。可选择 1、2和 5，2表示使用客户端软件进行登录

2）设置推送到客户端的组策略

Enterprise(config)#ip local pool REMOTE-POOL 172.16.100.1 172.16.100.254 //定义 IP 地址池，用于向 VPN客户分配 IP 地址

3）定义组策略

Enterprise(config)#crypto isakmp client configuration group VPN-REMOTE-ACCESS //创建一个组策略，组名为：VPN-REMOTE-ACCESS，要对该组的属性进行设置

Enterprise(config-isakmp-group)#key 123 //设置组的密码

Enterprise(config-isakmp-group)#pool REMOTE-POOL // 配置该组的用户将采用的 IP 地址池

4）启用 AAA 功能及授权

Enterprise(config)#aaa new-model //启用 AAA 功能

Enterprise(config)#aaa authorization network VPN-REMOTE-ACCESS local //定义在本地进行授权

5）指定授权方式

Enterprise(config)#crypto map CLIENTMAP isakmp authorization list VPN-REMOTE-ACCESS //指明 isakmp的授权方式

Enterprise(config)#crypto map CLIENTMAP client configuration address respond //配置当用户请求 IP 地址时就响应地址请求

6）定义交换集 （第二阶段 IPSEC）

Enterprise(config)#crypto ipsec transform-set VPNTRANSFORM esp-3des esp-md5-hmac //定义一个交换集

7）定义加密图

Enterprise(config)#crypto dynamic-map DYNMAP 1 //创建一个动态加密图，加密图之所以是动态，是因为无法预知客户端的 IP 地址

Enterprise(config-crypto-map)#set transform-set VPNTRANSFORM //指明加密图的交换集

Enterprise(config-crypto-map)#reverse-route //反向路由注入

Enterprise(config)#crypto map CLIENTMAP 1 ipsec-isakmp dynamic DYNMAP //把动态加密图应用到静态加密图，因为接口下只能应用静态加密图

8）配置认证方式

Enterprise(config)#aaa authentication login VPNUSERS local //定义一个认证方式，用户名和密码在本地

Enterprise(config)#username vpnuser secret cisco //定义一个用户名和密码

Enterprise(config)#crypto map CLIENTMAP client authentication list VPNUSERS //指明采用之前定义的认证方式对用户进行认证

9）应用静态加密图

Enterprise(config)#interface serial0/0/0

Enterprise(config-if)#crypto map CLIENTMAP //在接口上应用静态加密图

实验常见问题

（1）Easy VPN是 Cisco 独有的远程接入 VPN技术。Easy VPN是在 Ipsec VPN 建立的两个阶段（IKE 阶段和 IPSEC阶段）之间多了一个阶段（用户认证阶段等）。

（2）程VPN接入技术，常见的有 PPTP，L2TP，Easy VPN以及 SSL VPN。