（一）vpn access server的配置
實驗網絡拓撲：
pc（vpn client 4.01）－－－switch－－－router1720 （vpn access server）
pc配置:
ip：10.130.23.242/28
gw：10.130.23.246
1720接口ip：
f0：10.130.23.246/28
lo0：172.16.1.1/24
1720的ios為c1700-k93sy7-mz.122-8.T5.bin
步驟：
1、配置isakmp policy：
crypto isakmp policy 1
encr 3des
authen pre-share
group 2
2、配置vpn client地址池
cry isa client conf address-pool local pool192
ip local pool pool192 192.168.1.1 192.168.1.254
3、配置vpn client有關參數
cry isa client conf group vclient-group
####vclient-group就是在vpn client的連接配置中需要輸入的group authentication name。
key vclient-key
####vclient-key就是在vpn client的連接配置中需要輸入的group authentication password。
pool pool192 ####client的ip地址從這裡選取
####以上兩個參數必須配置，其他參數還包括domain、dns、wins等，根據情況進行配置。
4、配置ipsec transform-set
cry ipsec trans vclient-tfs esp-3des esp-sha-hmac
5、配置map模板
cry dynamic-map template-map 1
set transform-set vclient-tfs ####和第四步對應
6、配置vpnmap
cry map vpnmap 1 ipsec-isakmp dynamic template-map ####使用第五步配置的map模板
cry map vpnmap isakmp author list vclient-group ####使用第三步配置的參數authorization
cry map vpnmap client conf address respond ####響應client分配地址的請求
7、配置靜態路由
ip route 192.168.1.0 255.255.255.0 fastethernet0
說明幾點：
（1）因為1720只有一個fastethernet口，所以用router1720上的lo0地址來模擬router內部網絡。
（2）vpn client使用的ip pool地址不能與router內部網絡ip地址重疊。
（3）10.130.23.0網段模擬公網地址，172.16.1.0網段用於1720內部地址，192.168.1.0網段用於vpn通道。
（4）沒有找到設置vpn client獲取的子網掩碼的辦法。看來是ios還不支持這個功能。
（5）關於split tunnel。配置方法：首先，設置access 133 permit ip 172.16.1.0 0.0.0.255 any，允許1720本地網絡數據通過tunnel，然後在第三步驟中添加一個參數：acl 133。
