在现代企业网络架构中，远程办公和分支机构互联已成为常态，为了保障数据传输的机密性、完整性和可用性，IPsec（Internet Protocol Security）协议被广泛应用于虚拟私有网络（VPN）部署中，作为思科（Cisco）经典防火墙产品，自适应安全设备（Adaptive Security Appliance，简称 ASA）凭借其强大的安全策略控制能力和灵活的VPN功能，成为企业级网络安全解决方案的重要组成部分，本文将详细介绍如何在ASA防火墙上配置IPsec站点到站点（Site-to-Site）和远程访问（Remote Access）型VPN,并结合实际场景提供操作建议。
配置前需明确网络拓扑结构，假设企业总部有一台ASA防火墙，位于公网IP地址1.1.1.1，内网为192.168.1.0/24；远程办公室或员工通过互联网连接，拥有公网IP 2.2.2.2，目标是建立一个安全隧道，使总部与远程网络间可透明通信,同时支持移动用户使用AnyConnect客户端接入内网资源。
第一步：基础配置
登录ASA设备后,进入特权模式并执行以下命令：
hostname ASA-Headquarters
interface GigabitEthernet0/0
nameif outside
ip address 1.1.1.1 255.255.255.0
!
interface GigabitEthernet0/1
nameif inside
ip address 192.168.1.1 255.255.255.0第二步：定义感兴趣流量（Traffic ACL）
创建访问控制列表（ACL）,指定哪些流量需要加密通过隧道：
access-list VPN_TRAFFIC extended permit ip 192.168.1.0 255.255.255.0 192.168.2.0 255.255.255.0此ACL表示源子网192.168.1.0/24与目的子网192.168.2.0/24之间的所有流量将触发IPsec隧道建立。
第三步：配置IKE策略（Phase 1）
IKE（Internet Key Exchange）负责身份验证和密钥协商，设置主模式（Main Mode）或野蛮模式（Aggressive Mode）,推荐使用主模式以增强安全性：
crypto isakmp policy 10
authentication pre-share
encryption aes-256
hash sha
group 5
lifetime 86400第四步：配置IPsec策略（Phase 2）
定义数据加密和认证方式，通常采用ESP（Encapsulating Security Payload）协议：
crypto ipsec transform-set MY_TRANSFORM_SET esp-aes-256 esp-sha-hmac
mode tunnel第五步：建立隧道（Tunnel Group for Remote Access）
若需支持远程用户,配置AnyConnect客户端接入：
tunnel-group REMOTE_GROUP type remote-access
tunnel-group REMOTE_GROUP general-attributes
address-pool REMOTE_POOL
authentication-server default-group local第六步：启用NAT排除（NAT Bypass）
确保内部流量不被PAT（端口地址转换）干扰：
nat (inside) 0 access-list NAT_EXEMPT应用配置到接口：
crypto map MY_CRYPTO_MAP 10 ipsec-isakmp
set peer 2.2.2.2
set transform-set MY_TRANSFORM_SET
match address VPN_TRAFFIC完成上述步骤后，可通过show crypto session查看当前活动会话，使用ping测试连通性，对于远程访问用户，需分发AnyConnect客户端及预共享密钥（PSK）或证书。
ASA防火墙的IPsec VPN配置虽步骤较多，但逻辑清晰、模块化强，熟练掌握这些命令不仅能提升网络可靠性，更能有效防止中间人攻击、数据泄露等风险，建议定期更新密钥、监控日志、实施最小权限原则,确保长期安全运行。
半仙加速器-海外加速器 | VPN加速器 | VPN翻墙加速器 | VPN梯子 | VPN外网加速
