“Internet 協(xié)議安全性 (IPSec)”是一種開放標(biāo)準(zhǔn)的框架結(jié)構(gòu)，通過使用加密的安全服務(wù)以確保在 Internet 協(xié)議 (IP) 網(wǎng)絡(luò)上進(jìn)行保密而安全的通訊。Microsoft Windows 2000、Windows XP 和 WindowsServer 2003 家族實(shí)施 IPSec 是基于“Internet 工程任務(wù)組 (IETF)”IPSec 工作組開發(fā)的標(biāo)準(zhǔn)。

IPSec（InternetProtocolSecurity）是安全聯(lián)網(wǎng)的長期方向。它通過端對端的安全性來提供主動的保護(hù)以防止專用網(wǎng)絡(luò)與 Internet 的攻擊。在通信中，只有發(fā)送方和接收方才是唯一必須了解 IPSec 保護(hù)的計(jì)算機(jī)。在 Windows 2000、Windows XP 和 Windows Server 2003 家族中，IPSec 提供了一種能力，以保護(hù)工作組、局域網(wǎng)計(jì)算機(jī)、域客戶端和服務(wù)器、分支機(jī)構(gòu)（物理上為遠(yuǎn)程機(jī)構(gòu)）、Extranet 以及漫游客戶端之間的通信。

IPSec是IETF（Internet Engineering Task Force，Internet工程任務(wù)組）的IPSec小組建立的一組IP安全協(xié)議集。IPSec定義了在網(wǎng)際層使用的安全服務(wù)，其功能包括數(shù)據(jù)加密、對網(wǎng)絡(luò)單元的訪問控制、數(shù)據(jù)源地址驗(yàn)證、數(shù)據(jù)完整性檢查和防止重放攻擊。

IPSec的安全服務(wù)要求支持共享密鑰完成認(rèn)證和/或保密，并且手工輸入密鑰的方式是必須要支持的，其目的是要保證IPSec協(xié)議的互操作性。當(dāng)然，手工輸入密鑰方式的擴(kuò)展能力很差，因此在IPSec協(xié)議中引入了一個(gè)密鑰管理協(xié)議，稱Internet密鑰交換協(xié)議——IKE，該協(xié)議可以動態(tài)認(rèn)證IPSec對等體，協(xié)商安全服務(wù)，并自動生成共享密鑰。

以下是IPSec VPN實(shí)驗(yàn)

配置命令：

Site1:

hostname Site1

!

no ip domain lookup

ip cef

!

crypto isakmp key cisco address 200.1.1.1      

!

crypto ipsec transform-set cisco esp-des esp-md5-hmac 

mode tunnel

!

crypto map cisco 10 ipsec-isakmp 

set peer 200.1.1.1

set transform-set cisco

match address cisco

!

interface Loopback0

no shutdown

ip address 172.168.1.1 255.255.255.0

!

interface Ethernet0/0

no shutdown

ip address 100.1.1.1 255.255.255.0

crypto map cisco

!

ip route 192.168.1.0 255.255.255.0 100.1.1.2

ip route 200.1.1.0 255.255.255.0 100.1.1.2

!

ip access-list extended cisco

permit ip 172.168.1.0 0.0.0.255 192.168.1.0 0.0.0.255

Internet:

hostname Internet

no ip domain lookup

ip cef

no ipv6 cef

!

interface Ethernet0/0

no shutdown

ip address 100.1.1.2 255.255.255.0

!

interface Ethernet0/1

no shutdown

ip address 200.1.1.2 255.255.255.0

Site2:

hostname Site2

!

no ip domain lookup

ip cef

no ipv6 cef

!

crypto isakmp key cisco address 100.1.1.1      

!

crypto ipsec transform-set cisco esp-des esp-md5-hmac 

 mode tunnel

!

crypto map cisco 10 ipsec-isakmp 

set peer 100.1.1.1

set transform-set cisco

match address cisco

!

interface Loopback0

no shutdown

ip address 192.168.1.1 255.255.255.0

!

interface Ethernet0/1

no shutdown

ip address 200.1.1.1 255.255.255.0

crypto map cisco

!

ip route 100.1.1.0 255.255.255.0 200.1.1.2

ip route 172.168.1.0 255.255.255.0 200.1.1.2

!

ip access-list extended cisco

permit ip 192.168.1.0 0.0.0.255 172.168.1.0 0.0.0.255