路由器命令配置VPN是企业网络和个人用户实现安全远程访问的重要手段，通过命令行界面（CLI）进行配置可以更精细地控制参数，适用于大多数主流路由器品牌（如Cisco、华为、H3C等），以下以Cisco IOS路由器为例，详细说明基于IPSec VPN的配置步骤和关键命令。
准备工作包括确认路由器硬件支持VPN功能、获取公网IP地址（或动态DNS域名）、以及规划VPN参数（如预共享密钥、IP地址池、加密算法等），配置过程主要分为三个阶段：基础网络配置、IKE（Internet Key Exchange）策略配置、IPSec安全策略配置及接口应用。
在基础网络配置阶段，需确保路由器WAN口和LAN口参数正确，进入全局配置模式（configure terminal），配置WAN口IP地址（interface GigabitEthernet0/0，ip address 203.0.113.1 255.255.255.0，no shutdown），配置LAN口IP地址（interface Vlan1，ip address 192.168.1.1 255.255.255.0），并启用路由功能（ip routing），需在防火墙上允许UDP端口500（IKE）和4500（NAT-T）的流量通过。
接下来是IKE策略配置，用于协商VPN隧道的安全参数，进入全局配置模式后，使用crypto isakmp policy 10定义优先级（数字越小优先级越高），然后指定加密算法（如encryption aes 256）、哈希算法（hash sha256）、认证方法（authentication pre-share）和DH组（group 14），之后，配置预共享密钥（crypto isakmp key MySecretKey address 203.0.113.2），其中MySecretKey为双方约定的密钥，0.113.2为对端路由器公网IP。
IPSec安全策略配置是VPN的核心，需定义要保护的数据流（ACL）、IPSec转换集和应用接口，首先创建扩展ACL，定义感兴趣流量（感兴趣流量），access-list 101 permit ip 192.168.1.0 0.0.0.255 10.0.0.0 0.0.0.255，表示允许源地址为192.168.1.0/24网段与目的地址为10.0.0.0/24网段的流量通过VPN，然后定义IPSec转换集（crypto ipsec transform-set TS esp-aes 256 esp-sha-hmac），指定封装安全载荷（ESP）协议、AES-256加密和SHA-HMAC认证模式，将转换集与ACL关联并应用到接口：crypto map VPN_MAP 10 ipsec-isakmp，set peer 203.0.113.2（对端公网IP），set transform-set TS，match address 101，并将该crypto map应用到WAN接口（interface GigabitEthernet0/0，crypto map VPN_MAP）。
对于客户端VPN配置（如L2TP/IPSec），还需额外配置AAA认证和地址池。aaa new-model，aaa authentication login default local，username admin password password123，ip local pool VPN_POOL 172.16.1.100 172.16.1.200，并启用L2TP功能（vpdn enable，vpdn-group 1，accept-dialin，protocol l2tp，virtual-template 1），虚拟模板接口需配置IP地址和封装类型（interface Virtual-Template1，ip unnumbered Loopback0，ppp authentication chap mschap-v2）。
配置完成后，使用show crypto isakmp sa检查IKE SA状态，show crypto ipsec sa检查IPSec SA状态，show crypto map查看crypto map配置，若无法建立隧道，可排查ACL规则、预共享密钥、对端IP地址及防火墙设置,以下为常用配置命令速查表：
| 功能分类 | 命令示例 |
|---|---|
| 进入全局配置 | configure terminal |
| 配置IKE策略 | crypto isakmp policy 10 encryption aes 256 hash sha256 |
| 配置预共享密钥 | crypto isakmp key key123 address 203.0.113.2 |
| 定义ACL | access-list 101 permit ip 192.168.1.0 0.0.0.255 10.0.0.0 0.0.0.255 |
| 定义转换集 | crypto ipsec transform-set TS esp-aes-256 esp-sha-hmac |
| 创建crypto map | crypto map MAP_NAME 10 ipsec-isakmp set peer 203.0.113.2 |
| 应用crypto map | interface GigabitEthernet0/0 crypto map MAP_NAME |
相关问答FAQs：
-
问题：配置VPN时提示“ISAKMP SA无法建立”，可能的原因及解决方法？
解答：常见原因包括预共享密钥不匹配、对端IP地址错误、防火墙阻隔UDP 500端口或加密算法不一致，解决方法：使用show crypto isakmp sa查看SA状态，确认对端配置与本地一致，检查防火墙规则允许IKE流量，并确保双方IKE策略参数（加密算法、哈希算法、DH组）完全相同。 -
问题：VPN隧道已建立，但无法访问内网资源，如何排查？
解答：首先检查ACL是否正确定义了感兴趣流量，例如show access-lists查看ACL匹配计数；其次确认路由表是否包含目的网段路由，使用show ip route检查；最后验证NAT配置，确保内网流量未被NAT转换（可通过ip nat inside source list 1 interface overload命令调整ACL规则，排除VPN流量）。
