什麼是 VPN？

VPN（虛擬私人網路）透過公共網路（Internet）模擬專用連線，在邏輯上建立加密通道，提供機密性、完整性、驗證與低成本、彈性擴展的遠距連線方案。

實驗拓撲

• Router1 F0/1 (202.106.1.1) ↔ Router2 F0/1 (公網)
• Router1 F0/0 (192.168.1.1) ↔ PC1 (內網)
• Router2 F0/0 (192.168.2.1) ↔ PC2 (內網)

第一階段：基礎路由配置

Router> en
Router# conf t
Router(config)# hostname R1
R1(config)# int f0/1
R1(config-if)# ip address 202.106.1.1 255.255.255.0
R1(config-if)# no shut
R1(config-if)# exit
R1(config)# int f0/0
R1(config-if)# ip address 192.168.1.1 255.255.255.0
R1(config-if)# no shut
R1(config-if)# exit
R1(config)# ip route 0.0.0.0 0.0.0.0 202.106.1.2   ! 指向對端/ISP 閘道

R2 同理配置介面 IP 並指向預設路由。

第二階段：IKE 階段一配置（預共享金鑰）

R1(config)# crypto isakmp policy 10
R1(config-isakmp)# encr aes 256
R1(config-isakmp)# hash sha
R1(config-isakmp)# authentication pre-share
R1(config-isakmp)# group 5
R1(config-isakmp)# lifetime 86400
R1(config-isakmp)# exit
R1(config)# crypto isakmp key CISCO123 address 202.106.1.2   ! 對端公網 IP

第三階段：IPSec 階段二配置

R1(config)# crypto ipsec transform-set MYSET esp-aes 256 esp-sha-hmac
R1(config-crypto-trans)# mode tunnel
R1(config-crypto-trans)# exit
R1(config)# access-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
R1(config)# crypto map MYMAP 10 ipsec-isakmp
R1(config-crypto-map)# set peer 202.106.1.2
R1(config-crypto-map)# set transform-set MYSET
R1(config-crypto-map)# match address 101
R1(config-crypto-map)# exit
R1(config)# int f0/1
R1(config-if)# crypto map MYMAP
R1(config-if)# exit

驗證與測試

• show crypto isakmp sa 檢視階段一 SA 狀態（QM_IDLE 表成功）。
• show crypto ipsec sa 檢視階段二 SA 封包加解密計數。
• PC1 ping PC2（192.168.2.x）驗證通訊。

常見故障排查

• 預共享金鑰不一致 → 兩端核對 crypto isakmp key。
• ACL 不對稱 → 確認雙向 match address 鏡像對稱。
• NAT 穿透 → 若中間有 NAT，需啟用 crypto isakmp nat-traversal。