随时企业业务范围不断扩大，企业就想在全国各地，甚至全球各地开设分公司，但是企业为了节省成本，又希望分公司使用总部的一些IT系统，如服务器上的文件资源，不愿意在分公司单独再搭建IT系统。要解决这个问题，就是如何让分公司内部网络与总部的内部网络互通？ 采取专线，安全性没问题，但成本太高了，有没有成本相对便宜，又可以满足安全性的？ 有，那就是IPsec VPN，因为它是加密的（ESP），安全的。
本期与大家分享一个配置案例，相信看完，你会有所收获的。
1、拓扑图
2、需求（目的）
利用IPsec VPN在互联网上手工方式建立隧道，实现分公司的内部网络与总部内部网络互连，PC1 可以访问 总部的服务器 。
3、配置思路
因为分公司和总部的内部网络，都是私有IP地址，互联网上是没路由的，出了网关设备，源目IP地址肯定会变，所以这里才有IPsec ESP封装协议，AH不适合，原因是：AH会校验源、目IP地址。
1、搭建好拓扑图环境，标出规划好的IP地址。
2、修改网络设备默认名称、配置好IP地址。
3、配置分公司与总部网关设备的路由，使之互通。（这里使用静态路由）
4、利用ACL配置IPsec 感兴趣流
5、配置IPsec 提议（认证算法、加密算法）6、配置IPsec 策略7、把IPsec 策略调用到出接口下。
4、配置过程
步骤1：修改网络设备默认名称、配置好IP地址。
R1配置（分公司网关设备）
R2配置（模拟互联网）
R3配置（总部网关设备）
分公司PC1 IP地址设置：
总部服务器IP地址设置：
步骤2：配置分公司与总部网关设备的路由，使之互通
首先，虽然实验只是用了R2模拟互联网，但实际上互联网肯定有好多跳路由器的，不管多跳，分公司和总部的网关都连接互联网的，肯定有公网IP地址，就可以互通，所以做实验，确保两边的网关能互通就可以了。
其次，两边的网关设备，也需要再写一条关于内部网络的路由，这里也是用静态路由就好了，因为有了路由，后面IPsec隧道建立起来了，才能正确转发。不然隧道建立了，但是网关设备收到数据包，不知道怎么转发？ 因为没路由。
在R1配置静态路由，告诉R1去往23.1.1.0 怎么走：
在R3配置静态路由，告诉R3去往12.1.1.0 怎么走：
测试一下，分公司网关设备是否可以ping通总部的网关设备：
步骤3：利用ACL配置IPsec 感兴趣流
在R1配置IPsec 感兴趣流：分公司访问总部的流量：
在R3配置IPsec 感兴趣流：总部发往分公司的流量：
步骤4：配置IPsec 提议（认证算法、加密算法）
两边配置一样的算法。
在R1配置如下提议：
在R3配置如下提议：
步骤5：配置IPsec 策略IPsec 策略配置，你会发现就是把感兴趣流、提议、隧道源目IP地址、SPI值、密钥关联起来。
R1上配置IPsec 策略：
R3上配置IPsec 策略：
其中，这里值得提醒一下是SPI ，它是双向的，注意同一方向数值要一致。龙哥，画图，你可能就明白了：
步骤6：把IPsec 策略调用到出接口下
调用之前，我们先用PC1 ping 一下总部服务器，是不通的。（待会调用后做个对比）
在R1上把刚刚配置的IPsec 策略调用到出接口下：
在R3上把刚刚配置的IPsec 策略调用到出接口下：
5、测试验证
测试分公司的PC1 访问 总部内网服务器连通性：
抓包，我们可以发现，ping报文的源目IP均替换成网关设备的出口IP地址了：
而且，当你去点击ESP，想继续查看ESP封装的IP负载，发现是空的，其实不是空的，只是抓包软件无法解析而已。看下图，你就明白IPsec 为啥是安全的？就算黑客截获了这些数据包，也不用怕，很难破解里面真正的数据内容。
从本次实验，我们可以清晰地了解到ESP的协议号为：50。之前我们也学过一些协议号，如OSPF89，TCP6，UDP17等等。
