在现代企业网络架构中,远程访问和分支机构互联已成为常态，Cisco 2811是一款经典的集成服务路由器（ISR），支持多种广域网接口和高级安全功能，特别适合中小型企业和远程办公场景中的IPsec VPN部署，本文将详细介绍如何在Cisco 2811上配置IPsec站点到站点（Site-to-Site）VPN，以实现两个不同地点之间的加密通信。
确保你已经具备以下基础条件：
- 路由器运行的是支持IPsec的IOS版本（如12.4或更高版本）；
- 两台Cisco 2811路由器分别位于两个不同物理位置（例如总部与分公司）；
- 每台路由器都已正确配置了静态路由或动态路由协议（如OSPF）；
- 公网IP地址（或NAT穿透后的公网IP）已分配给两台路由器的外网接口（通常是FastEthernet 0/1或GigabitEthernet 0/0）；
- 安全策略明确：哪些子网之间需要加密通信。
配置步骤如下：
第一步：定义IPsec感兴趣流量（crypto map） 使用access-list定义哪些数据流需要加密，若总部内网为192.168.1.0/24，分公司为192.168.2.0/24，则创建如下ACL：
access-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255第二步：配置IPsec参数（ISAKMP策略） 设置IKE阶段1协商参数，包括加密算法、认证方式、DH组等，建议使用AES-256 + SHA1 + DH Group 2（或更优的Group 5）：
crypto isakmp policy 10
encr aes 256
authentication pre-share
group 2
lifetime 86400第三步：配置预共享密钥（PSK） 指定对端路由器的公网IP地址及对应的预共享密钥（需双方一致）：
crypto isakmp key mysecretkey address 203.0.113.100注意：此命令中0.113.100应替换为对端路由器的公网IP。
第四步：定义IPsec安全关联（transform set） 设置IKE阶段2的加密参数，如ESP加密和认证算法：
crypto ipsec transform-set MYTRANSFORM esp-aes 256 esp-sha-hmac
mode transport第五步：创建并绑定crypto map 将上述配置整合为一个crypto map，并应用到外网接口：
crypto map MYMAP 10 ipsec-isakmp
set peer 203.0.113.100
set transform-set MYTRANSFORM
match address 101将crypto map绑定到接口：
interface FastEthernet0/1
crypto map MYMAP完成以上配置后,通过show crypto isakmp sa和show crypto ipsec sa验证隧道状态是否建立成功，若看到“ACTIVE”状态，表示IKE和IPsec SA均已协商完成。
还需注意以下几点：
- 若两端均在NAT环境后,需启用NAT穿越（NAT-T）：
crypto isakmp nat-traversal； - 建议在防火墙上开放UDP 500（IKE）和UDP 4500（NAT-T）端口；
- 可通过
debug crypto isakmp和debug crypto ipsec排查连接问题。
通过以上步骤,你可以在Cisco 2811路由器上成功构建一个稳定、安全的IPsec站点到站点VPN，保障跨地域数据传输的机密性与完整性，满足企业级远程接入需求。
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
