在现代企业网络中，安全地远程访问内部资源已成为刚需，虚拟专用网络（VPN）技术通过加密通道实现跨公网的安全通信，而Cisco设备作为网络基础设施的核心，其IPSec协议支持尤为成熟，本文将基于Cisco Packet Tracer（PT）模拟器，详细讲解如何搭建一个端到端的IPSec站点到站点（Site-to-Site）VPN，帮助网络初学者理解原理、掌握配置流程,并为实际部署打下基础。
我们需要明确实验拓扑结构：两台Cisco路由器（R1和R2）分别代表两个分支机构，它们通过公共互联网（模拟为一条串行链路）连接，R1位于总部，拥有私有网络192.168.1.0/24；R2位于分部，拥有私有网络192.168.2.0/24，目标是让这两个子网之间能够安全通信,数据包必须经过IPSec加密封装。
第一步：基础网络配置
在Packet Tracer中，创建两个路由器（如Cisco 2911），并用串行接口（DCE/DTE）连接，为每台路由器配置静态路由或启用动态路由协议（如RIP v2）,确保直连网段可达。
R1(config)# interface GigabitEthernet0/0
R1(config-if)# ip address 192.168.1.1 255.255.255.0
R1(config-if)# no shutdown
R2(config)# interface GigabitEthernet0/0
R2(config-if)# ip address 192.168.2.1 255.255.255.0
R2(config-if)# no shutdown第二步：定义感兴趣流量（Crypto ACL）
IPSec仅加密指定流量，需用访问控制列表（ACL）标识,我们允许两个网段之间的所有流量：
R1(config)# access-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
R2(config)# access-list 101 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255第三步：配置IPSec安全提议（Transform Set）
定义加密算法、哈希算法和密钥交换方式，推荐AES-256加密 + SHA-1认证（兼顾安全与兼容性）：
R1(config)# crypto isakmp policy 10
R1(config-isakmp)# encryption aes 256
R1(config-isakmp)# hash sha
R1(config-isakmp)# authentication pre-share
R1(config-isakmp)# group 2
R1(config-isakmp)# exit
R1(config)# crypto ipsec transform-set MYSET esp-aes 256 esp-sha-hmac第四步：设置预共享密钥（Pre-Shared Key, PSK）
这是双方验证身份的关键,必须一致：
R1(config)# crypto isakmp key cisco123 address 192.168.2.1
R2(config)# crypto isakmp key cisco123 address 192.168.1.1第五步：建立IPSec隧道（Crypto Map）
将前述配置绑定到接口：
R1(config)# crypto map MYMAP 10 ipsec-isakmp
R1(config-crypto-map)# set peer 192.168.2.1
R1(config-crypto-map)# set transform-set MYSET
R1(config-crypto-map)# match address 101
R1(config-crypto-map)# exit
R1(config)# interface Serial0/0/0
R1(config-if)# crypto map MYMAP第六步：测试与验证
完成配置后，在PC1（192.168.1.10）ping PC2（192.168.2.10），应能成功互通,在路由器上使用命令查看状态：
show crypto session # 显示当前活动会话
show crypto isakmp sa # 查看IKE SA状态
show crypto ipsec sa # 查看IPSec SA状态若一切正常，你会看到“ACTIVE”状态的会话，且数据包经由加密通道传输——这正是IPSec的核心价值：即使抓包也无法读取明文内容。
此实验不仅巩固了IPSec的工作原理（IKE协商 + ESP封装），还教会你如何调试常见问题（如ACL不匹配、PSK错误），在真实环境中，还需考虑高可用性（如HSRP）、NAT穿透（NAT-T）等扩展场景，但Packet Tracer提供了一个低成本、无风险的学习平台，掌握这项技能,你已迈入企业级网络安全的第一步！
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
