随着企业业务扩展，分支机构与总部之间的数据传输安全日益重要。某公司网络架构中，总部与分支机构通过路由器R1和R2连接，为确保通信的机密性、完整性与可用性，需配置IPSec（Internet Protocol Security）安全策略。本文基于图4-1所示的网络拓扑，详细阐述IPSec配置步骤与关键要点。
一、网络拓扑与需求分析
假设网络拓扑中，路由器R1位于总部，公网IP地址为203.0.113.1；路由器R2位于分支机构，公网IP地址为198.51.100.1。内部网络方面，总部网段为192.168.1.0/24，分支机构网段为192.168.2.0/24。目标是通过IPSec隧道，加密两地之间的流量，实现安全通信。
二、IPSec配置核心步骤
IPSec配置通常包括定义感兴趣流量、设置IKE（Internet Key Exchange）策略、配置IPSec转换集与加密映射，并应用于接口。以下以通用路由器配置（如Cisco IOS）为例说明关键命令逻辑。
1. 定义访问控制列表（ACL）以识别感兴趣流量
在R1和R2上分别创建ACL，指定需要加密的流量源和目的网段：
`
R1(config)# access-list 100 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
R2(config)# access-list 100 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255
`
2. 配置IKE阶段1（ISAKMP策略）建立管理连接
设置认证方式、加密算法、哈希算法与Diffie-Hellman组，确保两端参数一致：
`
R1(config)# crypto isakmp policy 10
R1(config-isakmp)# encryption aes 256
R1(config-isakmp)# hash sha256
R1(config-isakmp)# authentication pre-share
R1(config-isakmp)# group 14
R1(config-isakmp)# lifetime 86400
`
在R2上配置相同参数。
3. 设置预共享密钥
为两端配置相同的密钥（如“SecureKey2024”），并指定对端IP地址：
`
R1(config)# crypto isakmp key SecureKey2024 address 198.51.100.1
R2(config)# crypto isakmp key SecureKey2024 address 203.0.113.1
`
4. 配置IPSec转换集（定义加密与认证算法）
创建转换集，指定ESP（Encapsulating Security Payload）加密和认证方式：
`
R1(config)# crypto ipsec transform-set TSET esp-aes 256 esp-sha256-hmac
R1(cfg-crypto-trans)# mode tunnel
`
R2配置相同转换集。
5. 创建加密映射并绑定配置
将ACL、对端地址、转换集等要素整合到加密映射中：
`
R1(config)# crypto map CMAP 10 ipsec-isakmp
R1(config-crypto-map)# match address 100
R1(config-crypto-map)# set transform-set TSET
R1(config-crypto-map)# set peer 198.51.100.1
R1(config-crypto-map)# set security-association lifetime seconds 3600
`
6. 将加密映射应用于对外接口
在连接公网的接口（如Serial0/0/0）上应用加密映射：
`
R1(config)# interface Serial0/0/0
R1(config-if)# crypto map CMAP
`
R2进行类似配置。
三、验证与故障排除
配置完成后，需通过以下命令验证IPSec隧道状态：
show crypto isakmp sa：查看IKE阶段1安全关联。show crypto ipsec sa：检查IPSec加密隧道详情。- 从总部PC（如192.168.1.10）向分支机构PC（如192.168.2.10）发起Ping测试，并捕获流量确认数据已加密。
常见问题包括：ACL定义错误导致流量未加密、两端算法或密钥不匹配、NAT设备干扰等。建议结合信管网（如信管网提供的模拟器或上海网络与信息安全软件开发中的测试工具）进行仿真测试，确保配置可靠性。
四、安全增强建议
- 定期更新预共享密钥，或采用证书认证提升安全性。
- 启用抗重放攻击保护，并监控IPSec隧道日志。
- 结合防火墙策略，限制仅允许IPSec相关协议（UDP 500、4500及ESP协议）通过公网接口。
通过以上配置，路由器R1和R2可建立稳定的IPSec VPN隧道，保障分支机构与总部间通信的安全，满足企业网络与信息安全需求。在实际部署中，需根据设备型号和软件版本调整命令，并遵循最小权限原则细化ACL规则。
