在现代企业网络架构中,虚拟专用网络（VPN）已成为保障远程访问安全、实现分支机构互联的重要技术手段，作为网络工程师，掌握如何通过路由器命令行界面（CLI）配置VPN是必不可少的核心技能之一，本文将详细介绍如何在主流路由器（以Cisco IOS为例）上配置站点到站点（Site-to-Site）IPsec VPN，涵盖从环境准备、IKE策略设置到IPsec加密通道建立的完整流程，帮助你快速构建稳定可靠的私有通信隧道。
确保你的路由器具备以下条件：
- 两个或多个路由器之间存在公网可达性（如通过互联网连接）；
- 路由器运行支持IPsec的IOS版本（通常为12.4及以上）；
- 具备静态或动态路由协议（如OSPF或静态路由）使两端能互相学习对方内网路由。
第一步：定义感兴趣的数据流（Traffic Selector）
你需要明确哪些本地子网要通过VPN传输，假设路由器A的内网是192.168.1.0/24，路由器B是192.168.2.0/24，使用以下命令定义感兴趣流量：
ip access-list extended VPN-TRAFFIC
permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255第二步：配置IKE（Internet Key Exchange）策略
IKE负责密钥协商和身份验证，建议使用IKEv2（更安全且兼容性更好），并配置预共享密钥（PSK）：
crypto isakmp policy 10
encr aes 256
authentication pre-share
group 14
lifetime 86400
crypto isakmp key MYSECRETKEY address 203.0.113.2 ! 对端路由器公网IP第三步：配置IPsec安全提议（Transform Set）
定义加密算法和认证方式，推荐AES-GCM（提供加密+完整性保护）：
crypto ipsec transform-set MY-TRANSFORM esp-aes 256 esp-sha-hmac
mode tunnel第四步：创建IPsec策略并绑定到接口
应用前面定义的transform set，并关联到物理接口（通常是外网接口）：
crypto map MY-CRYPTO-MAP 10 ipsec-isakmp
set peer 203.0.113.2 ! 对端公网IP
set transform-set MY-TRANSFORM
match address VPN-TRAFFIC第五步：启用Crypto Map到接口
最后一步，将crypto map绑定到路由器出站接口：
interface GigabitEthernet0/0
crypto map MY-CRYPTO-MAP至此,IPsec隧道已基本建立，你可以通过以下命令验证状态：
show crypto isakmp sa ! 查看IKE SA是否建立
show crypto ipsec sa ! 查看IPsec SA状态
ping 192.168.2.1 ! 测试连通性若一切正常,两端内网设备即可通过加密隧道互通，需要注意的是，若出现失败，请检查：
- 防火墙是否放行UDP 500（IKE）和UDP 4500（NAT-T）端口；
- PSK是否一致；
- 接口是否正确绑定crypto map；
- 是否存在NAT冲突（建议在路由器上启用NAT-T功能）。
对于高级需求,还可配置动态路由协议（如GRE over IPsec）或结合AAA服务器实现用户级认证，熟练掌握路由器命令行配置VPN不仅能提升网络安全性，还能增强你在复杂网络环境中的运维能力，建议在实验环境中反复练习，积累实战经验，才能真正成为一位合格的网络工程师。
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
