RemoteVPN--easyVPN---remote access 使用這種方法 實現兩個主要目的：

　　1、簡單的client配置，easy VPN remote

　　2、中心的server，動態的推送配置到client，easy VPN server 所以client很easy，server端的配置一點都不easy

　　遠程連接有哪些困難需要克服：

　　1、IPsec的客戶端使用server端未知的IP地址來連接網關，這樣就不可能在兩端定義一個預共享密鑰。

　　2、IPsec的客戶端通常希望用私網IP進入專用網絡，而不是公網IP

　　3、IPsec的客戶端必須使用DNS服務器、DHCP服務器和其他一些在專用網絡上作為信息主要來源的服務器，而不是使用ISP的服務器。

　　4、IPsec客戶端常在PAT設備之后進行連接，但由于ESP要加密TCP或UDP頭中的信息，端口自然也加密了，PAT將不能正常工作。

　　為解決以上難題，設計了IKE協商的1.5階段。 IKE的1.5階段由兩部分組成-- 1、x-auth擴展認證 2、模式配置

　　在遠程IPsec連接中，通常使用IKE主動模式。只有三條消息交換。 擴展認證--允許認證IPsec客戶端的使用者，被IPsec網關認證。

　　可以先讓所有的客戶都使用同一個預共享密鑰連接到IPsec網關，然后再使用擴展認證來確定用戶的身份，等于要進行兩次認證。這樣就解決了第一個問題（IPsec兩端無法定義預共享密鑰的難題）。

　　擴展認證是基于每一個用戶的，一般靠IPsec網關與AAA服務器結合來實現。 擴展認證在IKE第一階段完成后進行，擴展認證總共有四個消息的交換。 消息一：IPsec網關發向客戶端，詢問用戶名和密碼 消息二：客戶端發向IPsec網關，回應用戶名和密碼 消息三：IPsec驗證完畢后，通知客戶端成功或失敗 消息四：如果收到成功的消息，客戶端返回一個確認 模式配置：

　　允許IPsec網關為客戶端推送一個內部的IP地址和DNS服務器等信息。這樣客戶端就可以用這個內部的IP地址進入專用網絡。 NAT-T也叫NAT透明

　　用于解決在發生PAT的情況下進行正確的地址轉換 解決方法--將ESP分組再封裝進一個UDP頭中。

　　VPN 3005以上的設備都可以做server

　　1700、1800可以做client，實際上不光可以用硬件來做client，軟件也可以做，在移動辦公中就是軟件做

　　1800以上都可以做server

　　remote-VPN配置

　　server端配置

　　aaa new-model //啟用AAA

　　aaa authentication login REMOTE local aaa authorization network REMOTE local

　　username wolf password 0 cisco //建立本地數據庫 cryptoisakmp policy 10 hash md5

　　authentication pre-share group 2

　　encryption des

　　crypto isakmp client configuration group IPSEC-GROUP 組名，設不同組的目地是為內部不同的部門分配不同的IP

　　key xiangweixing組密碼組名和組密碼是一對，需要用戶端也是一樣的配置 pool IP-POOL

　　cryptoipsec transform-set MYSET esp-des esp-md5-hmac crypto dynamic-map MYMAP 10 set transform-set MYSET

　　reverse-route 反向路由注入

　　crypto map CISCO client authentication list REMOTE 啟用XAUTH crypto map CISCO isakmp authorization list REMOTE

　　crypto map CISCO client configuration address respond 地址推送方式（分強制推送和請求推送）

　　crypto map CISCO 10 ipsec-isakmp dynamic MYMAP interface s1/0 crypto map CISCO

　　ip local pool IP-POOL 172.16.1.20 172.16.1.50

　　---------------------------------------------------------------- client端配置

　　cryptoipsec client ezvpn EZVPN

　　group IPSEC-GROUP key xiangweixing conn manual

　　peer 202.100.1.1 對端地址 mode client int s1/0

　　cryptoipsec client ezvpn EZVPN outside int e0/0

　　cryptoipsec client ezvpn EZVPN inside ip route 0.0.0.0 0.0.0.0 s1/0

　　R2#crypto ipsec client ezvpn connect R2#crypto ipset client ezvpnxauth 在客戶端查看： show crypto session

　　show crypto ipsec client ezvpn 在服務器端查看：

　　show crypto session group show crypto session summary