一、IPsec VPN 配置

1. 配置ISAKMP策略（阶段1）

   crypto isakmp policy 10
    encryption aes 256
    hash sha256
    authentication pre-share
    group 14
    lifetime 86400

2. 设置预共享密钥

   crypto isakmp key your_key address peer_public_ip

3. 配置IPsec转换集（阶段2）

   crypto ipsec transform-set MY_SET esp-aes 256 esp-sha-hmac
    mode tunnel

4. 创建加密映射并应用到接口

   crypto map MY_MAP 10 ipsec-isakmp
    set peer peer_public_ip
    set transform-set MY_SET
    match address ACL_VPN_TRAFFIC
   !
   interface GigabitEthernet0/0
    crypto map MY_MAP

SSL VPN (AnyConnect)

1. 启用WebVPN服务

   enable
   configure terminal
   webvpn
    enable outside
    anyconnect image disk0:/anyconnect-win-4.10.05095.pkg 1
    anyconnect enable

2. 配置SSL证书

   crypto ca trustpoint MY_SSL_CERT
    enrollment selfsigned
    subject-name CN=ssl-vpn.example.com
    rsakeypair 2048

3. 分配地址池

   ip local pool VPN_POOL 192.168.100.100-192.168.100.200

DMVPN (动态多点VPN)

1. 配置mGRE隧道接口

   interface Tunnel0
    ip address 10.0.0.1 255.255.255.0
    tunnel source GigabitEthernet0/0
    tunnel mode gre multipoint
    tunnel key 12345

2. 启用NHRP协议

   interface Tunnel0
    ip nhrp network-id 100
    ip nhrp authentication NHRP_KEY

故障排查命令

1. 查看ISAKMP SA状态

   show crypto isakmp sa

2. 检查IPsec SA状态

   show crypto ipsec sa

3. 测试VPN连通性

   debug crypto isakmp
   debug crypto ipsec

4. 查看SSL VPN会话

   show webvpn session

常用ACL示例

access-list ACL_VPN_TRAFFIC permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255

注意事项

1. 根据实际需求替换 your_key、peer_public_ip、地址池等参数。
2. 生产环境中建议使用证书认证替代预共享密钥。
3. 防火墙需放行UDP 500（ISAKMP）、4500（NAT-T）、TCP 443（SSL VPN）。

如需更具体的配置（如特定型号或场景）,请提供更多细节。