一、Cisco（RouteB）配置

1.CiscoACL配置（主要是為哪些流量做IPSec時引用）

router(config)#access-list110permitIP192.168.11.00.0.0.255192.168.100.00.0.0.255

router(config)#access-list110permitIP192.168.100.00.0.0.255192.168.11.00.0.0.255

2.第一階段IKE的配置

i.使用與共享密鑰進行身份驗證，與共享密鑰為cisco1122

ii.加密算法：des

iii.認證算法：md5

iv.DH組：group2

v.第一階段SA有效期28800秒

router(config)#cryptoisakmpenable #啟用IKE(默認是啟動的)

router(config)#cryptoisakmppolicy100 #建立IKE策略,優先級為100

router(config-isakmp)#authenticationpre-share #使用預共享的密碼進行身份驗證

router(config-isakmp)#encryptiondes #使用des加密方式

router(config-isakmp)#group2 #指定密鑰位數，group2安全性更高，但更耗cpu

router(config-isakmp)#hashmd5 #指定hash算法為MD5(其他方式：sha，rsa)

router(config-isakmp)#lifetime28880 #指定SA有效期時間。默認86400秒，兩端要一致

router(config)#cryptoisakmpkeycisco1122address192.168.0.124#配置預共享密鑰（cisco要指定對方地址）

3.IPSec第二階段配置

i.配置IPSec交換集：實際就是定義第二階段的加密認證算法，后續引用

加密算法：des；認證算法：md5；封裝協議：ESP

router(config)#cryptoipsectransform-setabcesp-desesp-md5-hmac

配置IPSec交換集abc這個名字可以隨便取，兩端的名字也可不一樣，但其他參數要一致。

ii.配置IPSec加密圖：實際上就是標識對方的身份，哪些流量做IPSec，第二階段SA生存期以及將上述交換集引用

router(config)#cryptomapmymap100ipsec-isakmp #創建加密圖mymap可自定義名稱

router(config-crypto-map)#matchaddress110 #用ACL來定義加密的通信

router(config-crypto-map)#setpeer192.168.0.124 #標識對方路由器IP地址

router(config-crypto-map)#settransform-setabc #指定加密圖使用的IPSEC交換集

router(config-crypto-map)#setsecurity-associationlifetime86400 #指定第二階段SA生存期

4.將加密圖應用到接口上

router(config)#interfaceethernet0/1 #進入WAN口

router(config-if)#cryptomapmamap #將加密圖應用到該接口

5.配置NONAT：保證在訪問IPSec對端網絡192.168.11.0/24時不啟用NAT，走IPSec隧道

router(config)#nat(inside)0access-list110

6.注意在Cisco上不要啟用PFS

二、UTT2512（RouterA）配置