路由器的配置參數和NAT網絡的搭建是路由器配置中非常重要的一環，設計人員要對網絡的基本情況有深刻的了解。VPN是企業實現安全遠程互聯的有效方法。本文根據一個應用實例，具體描述VPN的配置和實施過程。其主要應用特點包括：基于封裝安全負載標準ESP-DES(Encapsulating Securiry Payload – Data Encryption Standard)的IPSec；專有網絡通過端口地址轉換(PAT)技術訪問Internet。

一、 網絡基本情況

該單位公司總部在北京，全國有3個分支機構。要求做到在4個地點的數據能夠實時查詢，便于業務員根據具體情況作出正確決策。早期方案是使用路由器配置，通過速率為256Kbps的DDN專網連接北京總部。但技術人員通過市場調研，發現該網絡運營成本過高。通過進一步的咨詢和調整，最終方案是分支機構使用DDN在本地接入Internet，總部使用以太網就近接入Internet。并對互聯的路由器配置，使用VPN技術，保證內部數據通過Internet安全傳輸。

二、配置過程及測試步驟

在實施配置前，需要檢查硬件和軟件是否支持VPN。對于Cisco路由器，要求IOS版本高于12.0.6(5)T，且帶IPSec功能。本配置在Cisco路由器配置通過。以下是分支網絡1的路由器配置過程，其他路由器配置方法與此基本一致，只需修改具體的環境參數（IP地址和接口名稱）即可。以下黑體字為輸入部分，< Enter >為鍵盤對應鍵，^Z為Ctrl+Z組合鍵。

1. 配置路由器的基本參數，并測試網絡的連通性

（1） 進入路由器配置模式，將計算機串口與路由器console口連接，并按照路由器配置說明書的“終端仿真”程序。執行下述命令進入配置模式。

Router>en
Router#config terminal
Router(config)#

（2）配置路由器的基本安全參數，主要是設置特權口令、遠程訪問口令和路由器名稱，方便遠程調試。

Router(config)#enable secret xxxxxxx
Router(config)#line vty 0 4
Router(config-line)#password xxxxxx
Router(config-line)#exit
Router(config)#hostname huadong
huadong(config)#

（3）路由器配置的以太網接口，并測試與本地計算機的連通性，注意: 配置前，請將線纜與相關設備連接好。其中ethernet0/0端口接內部網絡，serial0/0端口接外部網絡。外部網絡接口地址由ISP分配，至少一個地址，多者不限。以下假定為一個，使用PAT模式，地址為210.75.32.9，上級路由器為210.75.32.10，關鍵是配置IP地址和啟用以太網接口。測試時，使用基本的測試命令ping。

huadong(config)#inter eth0/0
huadong(config-if)#ip address 172.17.1.1 255.255.255.0
huadong(config-if)#no shutdown
以下是測試命令：
huadong#ping 172.17.1.1
…
!!!!!
…
huadong#ping 172.17.1.100
…
!!!!!
…
在IP地址為172.17.1.100的計算機上:
c:>ping 172.17.1.1
Pinging 172.17.1.1 with 32 bytes of data:
Reply from 172.17.1.1: bytes=32 time=5ms TTL=255
……

（4） 路由器配置的串口，并測試與上級路由器的連通性與以太網口的配置方法類似，而且需要指定帶寬和包的封裝形式。同時，注意將Cisco設備特有的CDP協議關掉，保證基本的安全。

huadong(config)#inter serial0/0
huadong(config-if)#ip address 210.75.32.9 255.255.255.252
huadong(config-if)#bandwidth 256
huadong(config-if)#encapsulation ppp
huadong(config-if)#no cdp enable
huadong(config-if)#no shutdown

以下是測試命令：
huadong#ping 210.75.32.9
……
!!!!!
……
huadong#ping 210.75.32.10
……
!!!!!
……
結果證明連接及配置正確。

2. 路由器配置NAT網絡

（1） 配置外出路由并測試，主要是配置缺省路由。

huadong(config)#ip route 0.0.0.0 0.0.0.0 210.75.32.9
huadong#ping 211.100.15.36
……
!!!!!
……
結果證明本路由器可以通過ISP訪問Internet。

（2） 配置PAT，使內部網絡計算機可以訪問外部網絡，但不能訪問總部和分支機構，主要是基于安全目的，不希望內部網絡被外部網絡所了解，而使用地址轉換（NAT）技術。同時，為了節約費用，只租用一個IP地址（路由器使用）。所以，需要使用PAT技術。使用NAT技術的關鍵是指定內外端口和訪問控制列表。在訪問控制列表中，需要將對其他內部網絡的訪問請求包廢棄，保證對其他內部網絡的訪問是通過IPSec來實現的。

huadong(config)#inter eth0/0
huadong(config-if)#ip nat inside
huadong(config-if)#inter serial0/0
huadong(config-if)#ip nat outside
huadong(config-if)#exit
以上命令的作用是指定內外端口。
huadong(config)#route-map abc permit 10
huadong(config-route-map)#match ip address 150
huadong(config-route-map)#exit
以上命令的作用是指定對外訪問的規則名。
huadong(config)#access-list 150 deny 172.17.1.0 0.0.0.255 172.16.0.0 0.0.255.255
huadong(config)#access-list 150 deny 172.17.1.0 0.0.0.255 172.17.2.0 0.0.0.255
huadong(config)#access-list 150 deny 172.17.1.0 0.0.0.255 172.17.3.0 0.0.0.255
huadong(config)#access-list 150 permit ip 172.17.1.0 0.0.0.255 any

以上測試過程說明，NAT配置正確。內部計算機可以通過安全的途徑訪問Internet。當然，如果業務要求，不允許所有的內部員工/計算機，或只允許部分內部計算機訪問Internet，那么，只需要適當修改上述配置命令，即可實現。

3. 配置ESP-DES IPSec并測試以下配置是配置VPN的關鍵。首先，VPN隧道只能限于內部地址使用。如果有更多的內部網絡，可在此添加相應的命令。

huadong(config)#access-list 105 permit ip 172.17.1.0 0.0.0.255 172.16.0.0 0.0.255.255
huadong(config)#access-list 106 permit ip 172.17.1.0 0.0.0.255 172.17.2.0 0.0.0.255
huadong(config)#access-list 107 permit ip 172.17.1.0 0.0.0.255 172.17.3.0 0.0.0.255
指定VPN在建立連接時協商IKE使用的策略。方案中使用sha加密算法，也可以使用md5算法。在IKE協商過程中使用預定義的碼字。