RemoteVPN--easyVPN---remote access 使用這種方法 實(shí)現(xiàn)兩個(gè)主要目的：

　　1、簡(jiǎn)單的client配置，easy VPN remote

　　2、中心的server，動(dòng)態(tài)的推送配置到client，easy VPN server 所以client很easy，server端的配置一點(diǎn)都不easy

　　遠(yuǎn)程連接有哪些困難需要克服：

　　1、IPsec的客戶端使用server端未知的IP地址來(lái)連接網(wǎng)關(guān)，這樣就不可能在兩端定義一個(gè)預(yù)共享密鑰。

　　2、IPsec的客戶端通常希望用私網(wǎng)IP進(jìn)入專用網(wǎng)絡(luò)，而不是公網(wǎng)IP

　　3、IPsec的客戶端必須使用DNS服務(wù)器、DHCP服務(wù)器和其他一些在專用網(wǎng)絡(luò)上作為信息主要來(lái)源的服務(wù)器，而不是使用ISP的服務(wù)器。

　　4、IPsec客戶端常在PAT設(shè)備之后進(jìn)行連接，但由于ESP要加密TCP或UDP頭中的信息，端口自然也加密了，PAT將不能正常工作。

　　為解決以上難題，設(shè)計(jì)了IKE協(xié)商的1.5階段。 IKE的1.5階段由兩部分組成-- 1、x-auth擴(kuò)展認(rèn)證 2、模式配置

　　在遠(yuǎn)程IPsec連接中，通常使用IKE主動(dòng)模式。只有三條消息交換。 擴(kuò)展認(rèn)證--允許認(rèn)證IPsec客戶端的使用者，被IPsec網(wǎng)關(guān)認(rèn)證。

　　可以先讓所有的客戶都使用同一個(gè)預(yù)共享密鑰連接到IPsec網(wǎng)關(guān)，然后再使用擴(kuò)展認(rèn)證來(lái)確定用戶的身份，等于要進(jìn)行兩次認(rèn)證。這樣就解決了第一個(gè)問(wèn)題（IPsec兩端無(wú)法定義預(yù)共享密鑰的難題）。

　　擴(kuò)展認(rèn)證是基于每一個(gè)用戶的，一般靠IPsec網(wǎng)關(guān)與AAA服務(wù)器結(jié)合來(lái)實(shí)現(xiàn)。 擴(kuò)展認(rèn)證在IKE第一階段完成后進(jìn)行，擴(kuò)展認(rèn)證總共有四個(gè)消息的交換。 消息一：IPsec網(wǎng)關(guān)發(fā)向客戶端，詢問(wèn)用戶名和密碼 消息二：客戶端發(fā)向IPsec網(wǎng)關(guān)，回應(yīng)用戶名和密碼 消息三：IPsec驗(yàn)證完畢后，通知客戶端成功或失敗 消息四：如果收到成功的消息，客戶端返回一個(gè)確認(rèn) 模式配置：

　　允許IPsec網(wǎng)關(guān)為客戶端推送一個(gè)內(nèi)部的IP地址和DNS服務(wù)器等信息。這樣客戶端就可以用這個(gè)內(nèi)部的IP地址進(jìn)入專用網(wǎng)絡(luò)。 NAT-T也叫NAT透明

　　用于解決在發(fā)生PAT的情況下進(jìn)行正確的地址轉(zhuǎn)換 解決方法--將ESP分組再封裝進(jìn)一個(gè)UDP頭中。

　　VPN 3005以上的設(shè)備都可以做server

　　1700、1800可以做client，實(shí)際上不光可以用硬件來(lái)做client，軟件也可以做，在移動(dòng)辦公中就是軟件做

　　1800以上都可以做server

　　remote-VPN配置

　　server端配置

　　aaa new-model //啟用AAA

　　aaa authentication login REMOTE local aaa authorization network REMOTE local

　　username wolf password 0 cisco //建立本地?cái)?shù)據(jù)庫(kù) cryptoisakmp policy 10 hash md5

　　authentication pre-share group 2

　　encryption des

　　crypto isakmp client configuration group IPSEC-GROUP 組名，設(shè)不同組的目地是為內(nèi)部不同的部門分配不同的IP

　　key xiangweixing組密碼組名和組密碼是一對(duì)，需要用戶端也是一樣的配置 pool IP-POOL

　　cryptoipsec transform-set MYSET esp-des esp-md5-hmac crypto dynamic-map MYMAP 10 set transform-set MYSET

　　reverse-route 反向路由注入

　　crypto map CISCO client authentication list REMOTE 啟用XAUTH crypto map CISCO isakmp authorization list REMOTE

　　crypto map CISCO client configuration address respond 地址推送方式（分強(qiáng)制推送和請(qǐng)求推送）

　　crypto map CISCO 10 ipsec-isakmp dynamic MYMAP interface s1/0 crypto map CISCO

　　ip local pool IP-POOL 172.16.1.20 172.16.1.50

　　---------------------------------------------------------------- client端配置

　　cryptoipsec client ezvpn EZVPN

　　group IPSEC-GROUP key xiangweixing conn manual

　　peer 202.100.1.1 對(duì)端地址 mode client int s1/0

　　cryptoipsec client ezvpn EZVPN outside int e0/0

　　cryptoipsec client ezvpn EZVPN inside ip route 0.0.0.0 0.0.0.0 s1/0

　　R2#crypto ipsec client ezvpn connect R2#crypto ipset client ezvpnxauth 在客戶端查看： show crypto session

　　show crypto ipsec client ezvpn 在服務(wù)器端查看：

　　show crypto session group show crypto session summary