二、路由器配置VPN虚拟专网
　　不过有的时候企业在不同地方开设了分支机构，而要保证这些分支机构之间有如一个内网一样，这就需要虚拟专网VPN了。不过不同于上面提到的单个客户机和企业内网的VPN连接，分支机构互连是建立在网络和网络直接VPN连接基础上的，仅仅依靠一台windows系统建立的VPN服务器是绝对不能满足应用的，这时就需要在两头的路由交换设备上设置VPN信息进行连接了（如图7）。

图7

　　1、总部路由器的设置
　　总部路由器是VPN建立的核心，大部分加密验证工作都放在此。
　　（1）创建ISAKMP策略及添加加密验证信息：
crypto isakmp policy 1 
encryption des 
hash sha 
authentication pro-share
group 1
lifetime 28800
crypto isakmp identity address
crypto isakmp key cisco123 address 10.0.0.2
crypto ipsec transform-set bjset esp-des esp-md5-hmac
crypto map bjmap 1 ipsec-isakmp

　　（2）设置对端路由信息：
set peer 10.0.0.2
set transform-set bjset
match address 101
int fa0/0
ip address 172.16.1.1 255.255.255.0

　　（3）设置外网接口及加密图：
int s0/0
ip address 10.0.0.1 255.255.255.0
no ip mroute-cache
no fair-queue
clockrate 64000
crypto map bjmap

　　（4）应用加密信息：
access-list 101 permit ip 172.16.1.0 0.0.0.255 172.16.2.0 0.0.0.255
access-list 101 permit ip 172.16.2.0 0.0.0.255 172.16.1.0 0.0.0.255

　　2、分支路由器的设置
　　分支路由器上只需要按照主路由器参数并结合自己网络IP地址等信息即可。具体步骤也是上面的四步，依次为创建ISAKMP策略及添加加密验证信息，设置对端路由信息，设置外网接口及加密图，应用加密信息。设置完毕后两台路由器就完成了连接工作，两地员工可以像访问同一个内网资源一样访问对方服务和资源了。

　　三、总结
　　虚拟专网VPN帮助我们更好的应用企业服务，开展企业业务，更关键的是还可以省去大量的不必要网络带宽租用开支。不过在实施VPN方案时一定要根据自己的实际环境决定，尽量采用通过windows服务器建立VPN服务的方法，毕竟路由器的设置比较麻烦，密钥没设置好就无法顺利连接，排查起故障也很棘手。