Easy VPN+split tunneling+NAT BY JYH 2014.3.25 转发申明，谢谢。
- Cisco
拓扑图：
目的：1.要求分部所有员工可以访问总部内网192.168.1.0，同时可以访问互联网。
2.要求出差人员及个人电脑通过cisco VPN client软件拨入访问总部内网服务器，同时可以访问互联网。
3.要求总部服务器接受虚拟用户拨入，通过NAT同时可以访问互联网。
接下来大家跟我来通过以上拓扑图进行配置：
Internet路由器配置：（为方便后期粘贴配置）
conf t
interface FastEthernet0/0
ip address 200.1.1.1 255.255.255.0
no shut
exit
interface FastEthernet0/1
ip address 100.1.1.1 255.255.255.0
no shut
exit
interface FastEthernet1/0
ip address 210.1.1.1 255.255.255.0
no shut
exit
interface FastEthernet1/1
ip address 220.1.1.1 255.255.255.0
no shut
exit
======================================================================
总部路由配置：
conf t
interface FastEthernet0/0
ip address 192.168.1.254 255.255.255.0
ip nat inside
exit
interface FastEthernet0/1
ip address 100.1.1.2 255.255.255.0
ip nat outside
exit
ip route 0.0.0.0 0.0.0.0 100.1.1.1
ip nat inside source list 101 interface FastEthernet0/1 overload
access-list 100 permit ip 192.168.1.0 0.0.0.255 any
access-list 101 deny ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255
access-list 101 permit ip 192.168.2.0 0.0.0.255 any
exit
===================================================================================
分部路由配置：
conf t
interface FastEthernet0/0
ip address 200.1.1.2 255.255.255.0
ip nat outside
no shut
exit
interface FastEthernet0/1
ip address 172.16.1.254 255.255.255.0
ip nat inside
no shut
exit
ip route 0.0.0.0 0.0.0.0 200.1.1.1
ip nat inside source list 1 interface FastEthernet0/0 overload
access-list 1 permit 172.16.1.0 0.0.0.255
==================================================================================
配置VPCS：
添加LOOPBACK虚拟网卡--控制面板-添加新硬件--网络配置器，详见下图：
添加VMware虚拟网卡
配置loopback网卡及VMware网卡IP地址：
loopback:
VMware8虚拟网卡需要到虚拟机里配置IP，会多出一个本地连接2：
连接性配置完成。
=============================================================================================
配置总部路由IPSECVPN：
aaa new-model（开启AAA认证）
aaa authentication login eza local （命名eza，对eza认证）
aaa authorization network ezo local（命名ezo，对ezo的事件授权）
username cisco password cisco（创建用户名密码）
crypto isakmp policy 10（Ipsec 阶段一的安全参数配置）
hash md5
authentication pre-share
group 2
ip local pool ez 192.168.2.1 192.168.2.10（Easy VPN 接入后所分配的地址）
crypto isakmp client configuration group myez（Easy VPN的组和密码配置）
key 123
pool ez
acl 100
crypto ipsec transform-set tim esp-3des esp-md5-hmac（IPSec阶段二的配置）
crypto dynamic-map ezmap 10（动态加密图）
set transform-set tim
reverse-route（反向路由注入）
（以下是对Easy VPN的认证，授权配置，list是调用上面的AAA的配置名）
crypto map tom client authentication list eza
crypto map tom isakmp authorization list ezo
crypto map tom client configuration address respond
crypto map tom 10 ipsec-isakmp dynamic ezmap（最后，动态加密图必须有静态绑定）
interface FastEthernet0/1
crypto map tom（绑定到接口）
=================================================================================
测试连接：
在虚拟机VMware里安装cisco client VPN--点击New：
拨入成功后测试连接：
ping 192.168.1.1
ping 210.1.1.2
分部VPN拨入总部访问内网192.168.1.254及210.1.1.2应该全通了。
=======================
个人电脑或在外出差同事电脑用VPN client拨入总部内网测试：
ping 192.168.1.1
ping 210.1.1.2
全通。
=====================================================================
总部电脑通NAT访问互联网测试：
ping 210.1.1.2
======================================
通通通，哈哈，本实验完成！
收藏于 2014-03-25
来自于百度空间