实验
实验拓扑图：
实验环境：
在GNS3上搭建三台路由器，使用VPCS模拟两台PC，并规划上海和北京两家公司局域网。
实验要求:
在两家公司网关路由器上做IPsecVPN,使两家公司内网可以相互通信，并使数据加密传送达到信息安全的目的。
实验步骤：
首先规划路由器和PC机IP地址并在出口网关作做一条通向公网的默认路由：
R1：
R1(config)#int f0/1
R1(config-if)#ip add 192.168.10.1 255.255.255.0
R1(config-if)#no shut
R1(config-if)#int f0/0
R1(config-if)#ip add 12.0.0.1 255.255.255.252
R1(config-if)#no shut
R1(config-if)#ex
R1(config)#ip route 0.0.0.0 0.0.0.0 12.0.0.2
R2：
R2(config)#int f0/0
R2(config-if)#ip add 12.0.0.2 255.255.255.252
R2(config-if)#int f0/1
R2(config-if)#ip add 13.0.0.1 255.255.255.252
R2(config-if)#no shut
R3：
R3(config)#int f0/0
R3(config-if)#ip add 13.0.0.2 255.255.255.252
R3(config-if)#no shut
R3(config-if)#int f0/1
R3(config-if)#ip add 10.0.0.1 255.255.255.0
R3(config-if)#no shut
R3(config-if)#ex
R3(config)#ip route 0.0.0.0 0.0.0.0 13.0.0.1
PC：
接下来在网关路由器上做IPsecVPN:
配置如下：
R1：
R1(config)#crypto isakmp policy 1 //配置安全策略级别
R1(config-isakmp)#encryption des //采用DES加密算法
R1(config-isakmp)#hash sha //指定SHA验证功能
R1(config-isakmp)#authentication pre-share //设备方式的验证
R1(config-isakmp)#group 2 //指定DH密钥组
R1(config-isakmp)#lifetime 60 //配置为60秒没有流量将自动断开连接
R1(config-isakmp)#crypto isakmp key 6 abc123 address 13.0.0.2 //设定共享密钥的内容和对端设备的IP地址
R1(config)#access-list 101 permit ip host 192.168.10.100 host 10.0.0.2 //配置ACL指定需要保护的流量
R1(config)#crypto ipsec transform-set benet esp-sha-hmac esp-des //指定传输集名称和选项
R1(cfg-crypto-trans)#crypto map ipsecmap 1 ipsec-isakmp //构建IPsecVPN会话
R1(config-crypto-map)#match address 101 //调用ACL
R1(config-crypto-map)#set peer 13.0.0.2 //指定对端IP地址
R1(config-crypto-map)#set transform-set benet //调用传输集
R1(config-crypto-map)#ex
R1(config)#int f0/0
R1(config-if)#crypto map ipsecmap //应用在接口
R3与R1绝大部分配置相同，将对端地址互指即可：
R3(config)#crypto isakmp policy 1
R3(config-isakmp)#encryption des
R3(config-isakmp)#hash sha
R3(config-isakmp)#authentication pre-share
R3(config-isakmp)#group 2
R3(config-isakmp)#lifetime 60
R3(config-isakmp)#crypto isakmp key 6 abc123 address 12.0.0.1
R3(config)#access-list 101 permit ip host 10.0.0.2 host 192.168.10.100
R3(config)#crypto ipsec transform-set benet esp-sha-hmac esp-des
R3(cfg-crypto-trans)#ex
R3(config)#crypto map ipsecmap 1 ipsec-isakmp
R3(config-crypto-map)#match address 101
R3(config-crypto-map)#set peer 12.0.0.1
R3(config-crypto-map)#set transform-set benet
R3(config-crypto-map)#ex
R3(config)#int f0/0
R3(config-if)#crypto map ipsecmap
测试两台PC互通：
实验完成