在当今数字化时代，虚拟专用网络（Virtual Private Network, VPN）已成为企业、教育机构和远程办公用户保障网络安全通信的重要手段，本次实验旨在通过实际操作，掌握基于Cisco路由器的IPsec VPN配置流程，包括站点到站点（Site-to-Site）VPN的基本搭建、安全策略设置、路由配置以及连通性验证，实验环境使用Cisco Packet Tracer模拟器,模拟两个不同地理位置的分支机构通过公网建立加密隧道进行安全通信。
实验目标明确：一是熟悉IPsec协议的工作原理及其在Cisco IOS中的实现方式；二是掌握IKE（Internet Key Exchange）v1协商过程；三是验证两端路由器之间能否通过加密通道传输数据,且不被第三方截获或篡改。
实验拓扑结构包含两台Cisco 2911路由器（R1和R2），分别代表两个分支机构（Branch A 和 Branch B），每台路由器连接一个本地局域网（LAN），分别为192.168.1.0/24和192.168.2.0/24，两台路由器通过广域网接口（Serial接口）连接至公共网络（模拟互联网），其公网IP地址分别为203.0.113.1（R1）和203.0.113.2（R2），实验中将使用预共享密钥（Pre-Shared Key）方式进行身份认证,采用AES加密算法和SHA哈希算法确保数据完整性与保密性。
配置步骤如下：
第一步，在两台路由器上启用IPsec功能，并定义感兴趣流（interesting traffic）,例如在R1上配置：
crypto isakmp policy 10
encryp aes
hash sha
authentication pre-share
group 2
crypto isakmp key mysecretkey address 203.0.113.2第二步，创建IPsec transform set,指定加密与哈希算法：
crypto ipsec transform-set MYTRANSFORM esp-aes esp-sha-hmac第三步，定义访问控制列表（ACL）以指定哪些流量需要加密：
access-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255第四步，创建crypto map并绑定到外网接口：
crypto map MYMAP 10 ipsec-isakmp
set peer 203.0.113.2
set transform-set MYTRANSFORM
match address 101
interface Serial0/0/0
crypto map MYMAP第五步，在R2上完成对称配置，确保两端参数一致，完成后,重启相关服务并检查状态：
show crypto isakmp sa
show crypto ipsec sa实验过程中，我们观察到IKE协商成功后，IPsec SA建立，加密隧道形成，随后，在Branch A的PC（192.168.1.10）向Branch B的PC（192.168.2.10）发起ping测试，结果显示ICMP报文正常穿越隧道，延迟稳定在20ms以内，未出现丢包现象，进一步使用Wireshark抓包分析，发现所有流量均被封装在ESP协议中，外部无法解析原始数据内容,充分验证了安全性。
本次实验不仅加深了我对IPsec协议机制的理解，也提升了实际配置与排错能力，未来可拓展至动态路由（如OSPF over IPsec）、GRE-over-IPsec等高级场景，为构建更复杂的SD-WAN架构打下基础，对于网络工程师而言,熟练掌握此类技术是保障企业通信安全的关键技能之一。
