CISCO 路由器做VPN Server详细设置

 NAT(config)#username velino password 0 123456      //设置用户名密码（vpn client连接后提示的用户名和密码）
!
NAT(config)#aaa new-model        //启用AAA认证
!
NAT(config)#aaa authentication login vpn-authen local     //设置AAA认证组vpn-authen为本地认证
NAT(config)#crypto isakmp xauth timeout 20      //设置扩展策略认证超时时间（秒）
NAT(config)#crypto map cisco client authentication list vpn-authen   //设置VPN模板cisco为认证组vpn-authen
!
NAT(config)#aaa authorization network vpn-author local     //设置认证网络组vpn-author为本地地址池
!
NAT(config)#ip local pool vpn-pool 172.16.0.1 172.16.0.3    //设置本地地址池vpn-pool的地址范围为172.16.0.1到172.16.0.2
!
NAT(config)#crypto map cisco client configuration address respond   //响应来自VPN策略cisco的地址请求
!
NAT(config)#access-list 100 permit ip 10.10.246.0 0.0.0.255 any    //设置内网的ACL
!
NAT(config)#crypto isakmp client configuration group mobile    //设置VPN客户组mobile(vpn client中需要的）
NAT(config-isakmp-group)#key velino       //设置VPN客户组密钥为velino(vpn client中需要的）
NAT(config-isakmp-group)#pool vpn-pool       //设置地址池为vpn-pool
!
NAT(config-isakmp-group)#acl 100       //应用ACL，不设置这个只能拨入不能访问内部网络
!
NAT(config-isakmp-group)#exit
!
NAT(config)#crypto map cisco isakmp authorization list vpn-author   //设置VPN策略cisco到AAA认证地址池
!
NAT(config)#crypto isakmp policy 1      //建立ISAKMP策略
NAT(config-isakmp)#encryption 3des      //设置加密算法
NAT(config-isakmp)#authentication pre-share      //设置共享密钥
NAT(config-isakmp)#group 2        //设置密钥长度为1024
NAT(config-isakmp)#hash md5        //设置为MD5认证
!
NAT(config-isakmp)#exit
!
NAT(config)#crypto ipsec transform-set vpn-set esp-3des esp-md5-hmac   //设置转换集vpn-set
!
NAT(cfg-crypto-trans)#exit
!
NAT(config)#crypto dynamic-map vpn-dyn 1      //建立动态模板映射
NAT(config-crypto-map)#set transform-set vpn-set     //设置转换集vpn-set      
!
NAT(config-crypto-map)#exit
!
NAT(config)#crypto map cisco 1 ipsec-isakmp dynamic vpn-dyn    //将组策略、Xauth应用到动态映射
!
NAT(config)#interface fastEthernet 0/0
NAT(config-if)#crypto map cisco        //加载MAP cisco
NAT(config-if)#exit
!



设置NAT的时候




access-list 101 deny ip 10.10.0.0 0.0.255.255 host 172.16.0.1
access-list 101 deny ip 10.10.0.0 0.0.255.255 host172.16.0.2
access-list 101 deny ip 10.10.0.0 0.0.255.255 host 172.16.0.3
access-list 101 permit ip 10.10.0.0 0.0.255.255 any    //设置内部网络阻止访问VPN客户端

access-list 1 permit 10.10.246.0 0.0.0.255


route-map ADSL permit 1
match ip address 101
exit

ip nat inside source route-map ADSL interface Dialer0 overload
interface
FastEthernet0/0
ip nat inside
exit
interface
Dialer0
ip nat outside
exit