在现代企业网络架构中,安全远程访问是保障业务连续性和数据保密性的关键环节，IPsec（Internet Protocol Security）作为业界标准的网络安全协议，广泛应用于站点到站点（Site-to-Site）或远程访问（Remote Access）场景，而思科Packet Tracer（简称PT）作为一款功能强大的网络模拟工具，非常适合初学者和网络工程师进行实验与验证，本文将带你一步步在思科模拟器中完成一个基本的IPsec VPN配置，帮助你理解核心原理并掌握实际操作流程。

我们需要准备以下设备和拓扑结构：

• 两台路由器（R1 和 R2），分别代表两个不同站点；
• 一台PC（PC0）连接到R1，用于模拟内部用户；
• 确保两台路由器之间通过广域网链路（如串行接口或以太网）互联；
• 配置静态路由或使用动态路由协议（如EIGRP或OSPF）确保网络可达性。

第一步：基础网络配置
为R1和R2配置各自的接口IP地址，并确保它们能互相ping通。

R1(config)# interface GigabitEthernet0/0
R1(config-if)# ip address 192.168.1.1 255.255.255.0
R1(config-if)# no shutdown
R2(config)# interface GigabitEthernet0/0
R2(config-if)# ip address 192.168.2.1 255.255.255.0
R2(config-if)# no shutdown

第二步：定义感兴趣流量（Traffic to be Encrypted）
在IPsec中，我们需明确哪些流量需要加密，通常使用访问控制列表（ACL）来指定源和目标子网，让R1上的192.168.1.0/24网段与R2上的192.168.2.0/24通信时启用IPsec：

R1(config)# access-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
R2(config)# access-list 101 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255

第三步：配置IPsec策略（Crypto Map）
这是IPsec的核心部分，我们在R1上创建一个crypto map，指定加密算法（如AES-256）、哈希算法（SHA-1）、IKE版本（v1或v2）以及对端IP地址：

R1(config)# crypto isakmp policy 10
R1(config-isakmp)# encryption aes 256
R1(config-isakmp)# hash sha
R1(config-isakmp)# authentication pre-share
R1(config-isakmp)# group 2
R1(config-isakmp)# exit
R1(config)# crypto isakmp key cisco123 address 192.168.2.1
R1(config)# crypto ipsec transform-set MYSET esp-aes 256 esp-sha-hmac
R1(config-transform-set)# mode tunnel
R1(config)# crypto map MYMAP 10 ipsec-isakmp
R1(config-crypto-map)# set peer 192.168.2.1
R1(config-crypto-map)# set transform-set MYSET
R1(config-crypto-map)# match address 101

第四步：应用crypto map到接口
将crypto map绑定到R1的外网接口（通常是连接到R2的接口）：

R1(config)# interface GigabitEthernet0/1
R1(config-if)# crypto map MYMAP

第五步：验证与排错
使用命令查看IPsec隧道状态：

show crypto isakmp sa
show crypto ipsec sa
ping 192.168.2.10 source 192.168.1.10

若一切正常,应能看到隧道建立成功，且PC0可以ping通远端PC（如192.168.2.10）。

通过以上步骤，你在思科模拟器中成功搭建了一个基于IPsec的站点到站点VPN，这不仅加深了对IPsec工作原理的理解（如IKE协商、AH/ESP封装、隧道模式等），也为日后真实环境中部署类似方案打下了坚实基础，建议多做实验，尝试更换加密算法、启用NAT穿越（NAT-T）或配置动态路由与IPsec结合，逐步提升你的网络技能。