!如果客户段是靠preshared key来确定自己身份的话,那么这个KEY配置就是必须的,它可以和扩展验证里的不同

 dns 61.148.1.8

 wins 61.148.1.7

 pool ippool

!调用本地地址池,不同的组策略可以调用不同的本地地址池,它要和全局下配置的地址池名一致.

!

!

!培植IPSEC转换集

crypto ipsec transform-set ipsectrans esp-3des esp-md5-hmac

!

!配置动态影射摸班,调用转换集,因为不知道peer的IP地址,也不知道要match那些感兴趣流,所以用动态加密影射.

crypto dynamic-map dynamicmap 1

 set transform-set ipsectrans

!

!

!下面开始将组策略模式配置和扩展验证应用到具体的加密影射上.

!

crypto map actmap client authentication list xauthen

!如果这里不用扩展验证,则可省略上面语句.

!下面这个语句是启用IKE的组策略查询,它将依赖于list后面的名称来查询AAA或者本地的组策略!

crypto map actmap isakmp authorization list groupauthor

!采用扩展组策略,如果不用扩展组策略则用下面这个语句使用本地手工配置的客户组,授权语句不可以省略,否则IKE协商过不去.!crypto map actmap isakmp authorization list clientgroup

crypto map actmap client configuration address respond

!上面的语句,是让VPN服务段响应客户段发起的地址请求,当然也可以使用initiate参数来主动发起请求(适合1.x版本客户段软件),两个参数可同时用.

crypto map actmap 1 ipsec-isakmp dynamic dynamicmap

!使用IKE来负责ipsec的协商,关联动态影射摸班.

!

!

!

interface Loopback0

 ip address 172.16.0.1 255.255.0.0

!

interface Ethernet0/0

 ip address 10.0.0.254 255.0.0.0

 full-duplex

 crypto map actmap

!

interface Ethernet0/1

 no ip address

 shutdown

 half-duplex

!

interface Ethernet0/2

 no ip address

 shutdown

 half-duplex

!

interface Ethernet0/3

 no ip address

 shutdown

 half-duplex

!

interface Serial1/0

 no ip address

 shutdown

 serial restart-delay 0