在现代企业网络架构中,远程访问和跨地域通信变得日益重要，IPsec（Internet Protocol Security）作为一种广泛采用的网络安全协议，能够为数据传输提供加密、完整性校验和身份认证保障，Cisco作为全球领先的网络设备厂商，其路由器和防火墙支持完善的IPsec VPN功能，本文将详细介绍如何在Cisco设备上搭建一个标准的IPsec站点到站点（Site-to-Site）VPN，涵盖配置步骤、关键参数说明及常见问题排查。
第一步：规划网络拓扑与IP地址
假设你有两个分支机构，分别位于北京和上海，使用Cisco ISR 4300系列路由器连接互联网，北京路由器（R1）的公网IP为203.0.113.1，上海路由器（R2）的公网IP为198.51.100.1，北京内网网段为192.168.1.0/24，上海内网为192.168.2.0/24，目标是实现两地内网之间的安全通信。
第二步：配置IKE策略（第一阶段）
在两台路由器上启用IKE（Internet Key Exchange）v1或v2协议，推荐使用IKEv2以获得更好的兼容性和安全性，示例配置如下：
crypto isakmp policy 10
encry aes
hash sha
authentication pre-share
group 14
lifetime 86400接着配置预共享密钥（PSK）：
crypto isakmp key mysecretpassword address 198.51.100.1第三步：配置IPsec策略（第二阶段）
定义数据加密和认证方式，通常选择ESP（Encapsulating Security Payload）模式：
crypto ipsec transform-set MYTRANSFORM esp-aes esp-sha-hmac
mode tunnel然后创建访问控制列表（ACL），指定需要加密的流量：
ip access-list extended IPSEC-ACL
permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255最后将transform-set与ACL绑定，创建crypto map：
crypto map MYMAP 10 ipsec-isakmp
set peer 198.51.100.1
set transform-set MYTRANSFORM
match address IPSEC-ACL第四步：应用crypto map到接口
将crypto map绑定到外网接口（如GigabitEthernet0/0）：
interface GigabitEthernet0/0
crypto map MYMAP第五步：测试与验证
配置完成后，使用show crypto isakmp sa查看IKE隧道状态，show crypto ipsec sa确认IPsec隧道是否建立成功，若看到“ACTIVE”状态，则表示隧道已建立，进一步可使用ping命令测试两端内网主机互通性。
常见问题排查：
- 若隧道无法建立,请检查PSK是否一致、NAT穿越（NAT-T）是否启用（默认开启）。
- 确保两端ACL匹配正确,避免因过滤导致流量不通过。
- 使用debug命令（如
debug crypto isakmp）可实时查看协商过程中的错误信息。
通过以上步骤,即可完成Cisco IPsec站点到站点VPN的搭建，该方案不仅适用于企业分支互联，还可扩展至云环境（如AWS、Azure）的混合云部署场景，是构建安全、稳定网络通信的基础技能。
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
