在当今网络环境中，虚拟专用网络（VPN）已成为企业实现远程访问、跨地域通信和数据加密传输的核心技术之一，本次实验基于Cisco路由器平台，通过搭建IPsec VPN隧道，验证了站点到站点（Site-to-Site）VPN的基本配置流程、连接状态监控以及安全性评估，本报告详细记录实验目的、拓扑结构、配置步骤、测试结果及优化建议,旨在为网络工程师提供可复用的技术参考。
实验环境由两台Cisco ISR 4321路由器组成，分别模拟总部（HQ）和分支机构（Branch），中间通过公共互联网互联，每台路由器均配置静态公网IP地址，并启用IKEv2协议进行密钥交换，使用ESP（封装安全载荷）协议加密流量，确保数据完整性与机密性，实验目标包括：建立稳定的IPsec隧道、验证隧道状态、实现内网互通,并分析潜在的安全风险。
配置过程分为三个阶段：在HQ和Branch路由器上分别定义感兴趣流量（traffic selector），即允许通过隧道传输的数据流（如192.168.1.0/24 和 192.168.2.0/24），配置IKE策略，指定预共享密钥（PSK）、加密算法（AES-256）、哈希算法（SHA256）及DH组（Group 14），以增强密钥协商的安全性，第三步是定义IPsec提议（transform-set），设置ESP加密方式和认证机制，然后将IKE策略与IPsec提议绑定至crypto map，并应用到物理接口（如GigabitEthernet0/0）。
完成配置后，使用show crypto session命令查看当前活跃的IPsec会话，结果显示两个方向的SA（Security Association）均已建立，且未出现重传或丢包现象，进一步通过ping和traceroute测试从HQ内网主机（192.168.1.10）到Branch内网主机（192.168.2.10）的连通性，成功返回ICMP响应，证明隧道功能正常，抓包工具Wireshark显示原始流量在进入隧道前被加密，解密后恢复为明文,验证了IPsec的工作原理。
安全方面，实验发现若未启用IKE Keepalive机制，可能导致隧道因长时间无数据而中断，我们在配置中添加了keepalive 10 3指令，确保两端定期发送心跳包维持连接活跃，我们启用了日志记录功能（logging monitor），便于实时追踪隧道状态变化，及时发现异常事件，针对潜在攻击，如暴力破解PSK，建议采用证书认证（X.509）替代预共享密钥,提升身份验证强度。
本次实验不仅验证了IPsec VPN的基础功能，还揭示了实际部署中的关键细节：如NAT穿越（NAT-T）配置、ACL规则顺序、以及MTU调整等，若未启用NAT-T，部分ISP可能因端口映射导致UDP 500端口不可达，从而引发隧道建立失败，我们总结出一套标准化配置模板,适用于中小型企业快速部署多站点间的安全互联方案。
通过本次实验，我们掌握了从理论到实践的完整IPsec VPN构建流程，增强了对网络安全协议的理解，也为后续复杂网络架构（如DMZ隔离、动态路由集成）打下坚实基础，对于网络工程师而言,此类动手实践是提升专业技能不可或缺的一环。
