在当今企业网络环境中，远程办公和分支机构互联已成为常态，而保障数据传输的安全性至关重要，IPsec（Internet Protocol Security）作为一种广泛采用的网络安全协议，能够为通过公共网络（如互联网）传输的数据提供加密、完整性验证和身份认证等安全保障，Cisco路由器作为业界主流的网络设备，支持完善的IPsec VPN功能,是构建企业级安全通信链路的理想选择。
本文将详细介绍如何在Cisco路由器上配置基于IPsec的站点到站点（Site-to-Site）VPN，以实现两个不同地理位置网络之间的安全互通，假设你已经拥有两台Cisco路由器（例如Cisco ISR 4300系列），分别部署在总部和分支机构，并且已正确配置静态路由或动态路由协议（如OSPF）用于内部连通。
第一步：规划与准备
确保两端路由器具备公网IP地址（或通过NAT转换后的公网IP），并确认目标网段（如总部192.168.1.0/24，分支机构192.168.2.0/24），需预先生成共享密钥（PSK, Pre-Shared Key）并记录下来，该密钥将在两端路由器上保持一致,用于身份验证。
第二步：配置IKE策略（第一阶段）
IKE（Internet Key Exchange）用于建立安全通道（SA），分为主模式和快速模式，在Cisco路由器上,使用以下命令配置IKE策略：
crypto isakmp policy 10
encr aes 256
hash sha
authentication pre-share
group 5
lifetime 86400此配置指定了使用AES-256加密、SHA哈希算法、预共享密钥认证方式，以及Diffie-Hellman组5进行密钥交换,生命周期为24小时。
第三步：配置预共享密钥
在两端路由器上均设置相同的PSK：
crypto isakmp key mysecretpsk address <对端公网IP>总部路由器应写入 crypto isakmp key mysecretpsk address 203.0.113.10（分支机构公网IP）。
第四步：配置IPsec策略（第二阶段）
IPsec定义数据加密规则，通常使用ESP（Encapsulating Security Payload）协议：
crypto ipsec transform-set MYTRANS esp-aes 256 esp-sha-hmac
mode tunnel第五步：创建访问控制列表（ACL）以指定受保护流量
允许从总部到分支机构的所有流量：
access-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255第六步：关联IPsec策略与ACL
crypto map MYMAP 10 ipsec-isakmp
set peer <对端公网IP>
set transform-set MYTRANS
match address 101在接口上应用该crypto map：
interface GigabitEthernet0/0
crypto map MYMAP完成以上步骤后，可使用命令 show crypto session 和 show crypto isakmp sa 验证隧道状态，若显示“ACTIVE”,则说明IPsec隧道已成功建立。
通过上述配置，企业可在不依赖专用线路的前提下，实现跨地域网络的加密通信，既经济又高效，建议结合日志监控、定期更新PSK、启用DHCP服务器隔离等措施，进一步提升整体安全性，对于更复杂的场景（如动态IP地址或DMVPN）,可进一步扩展配置逻辑。
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
