IPsec是一套协议，为IP层的Internet通信提供安全性。IPsec的最常见用途是在两个位置（网关到网关）之间或远程用户与企业网络（主机到网关）之间提供虚拟专用网络(VPN)。
IKE模式（第1阶段）
主模式
当发起方向响应方发送建议或建议时，IKE会话开始。节点之间的首次交换建立了基本的安全策略；发起方提出了要使用的加密和身份验证算法。响应方选择适当的建议（我们假设已选择建议）并将其发送给发起方。下一次交换会传递Diffie-Hellman公钥和其他数据。所有进一步协商都在IKE SA内加密。第三个交换对ISAKMP会话进行身份验证。建立IKE SA后，IPSec协商（快速模式）开始。
积极模式(野蛮模式)
主动模式将IKE SA协商压缩为三个数据包，发起方传递SA所需的所有数据。响应方发送建议、密钥材料和ID，并验证下一个数据包中的会话。发起方回复并验证会话。协商更快，且发起方和响应方ID以明文方式传递。
IPsec模式（第2阶段）
快速模式
IPSec协商或快速模式类似于主动模式IKE协商，除协商外，必须在IKE SA内进行保护。快速模式会协商数据加密的SA并管理该IPSec SA的密钥交换。
拓扑说明： R1和R3分别作为网关通过ISP 互通，各自内网要求通过IPSEC VPN互通
ISP配置
hostname isp
interface GigabitEthernet0/0
ip address 12.0.0.2 255.255.255.0
interface GigabitEthernet0/1
ip address 23.0.0.2 255.255.255.0
R1配置
hostname r1
interface Loopback0
ip address 192.168.1.1 255.255.255.255
//配置lo0模拟内网网段
interface GigabitEthernet0/0
ip address 12.0.0.1 255.255.255.0
ip route 0.0.0.0 0.0.0.0 12.0.0.2
access-list 100 permit ip host 192.168.1.1 host 172.16.1.1
//配置感兴趣流
crypto isakmp policy 10
encr 3des
authentication pre-share
group 2
//配置IKE的策略加密方式认证方式DH算法
crypto isakmp key 0 cisco address 23.0.0.3
//配置与共享密钥
crypto ipsec transform-set AA esp-3des esp-md5-hmac
//配置IPSEC转换集加密验证方式传输模式
crypto map aa 10 ipsec-isakmp
set peer 23.0.0.3
set transform-set AA
match address 100
//创建加密MAP，绑定IPSEC IKE，配置对等体，感兴趣流，转换集
interface GigabitEthernet0/0
crypto map aa
//接口应用IPSEC MAP
R3配置
hostname r3
interface Loopback0
ip address 172.16.1.1 255.255.255.255
interface GigabitEthernet0/0
ip address 23.0.0.3 255.255.255.0
ip route 0.0.0.0 0.0.0.0 23.0.0.2
access-list 100 permit ip host 172.16.1.1 host 192.168.1.1
crypto isakmp policy 10
encr 3des
authentication pre-share
group 2
crypto isakmp key 0 cisco address 12.0.0.1
crypto ipsec transform-set AA esp-3des esp-md5-hmac
crypto map aa 10 ipsec-isakmp
set peer 12.0.0.1
set transform-set AA
match address 100
conf t
interface GigabitEthernet0/0
crypto map aa
配置完成后检查两端配置
内网带源Ping测正常
查看IKE sa 和IPSEC sa
配置排错主要检查：
1 双方外网接口路由是否可达
2 双方是否具有匹配的SA
3 双发是否正确配置PSK