利用Internet 出口線路建立VPN通道實現總、分公司之間的互聯，是目前許多公司熱衷的方案。以往要建立這樣的VPN，需要至少一端使用靜態的ip地址。當前很多公司都通過ADSL方式上網，假如要求電信提供靜態地址，費用將會大大增加(如深圳512K固定IP的ADSL月租是RMB5000)。現在Cisco IOS 12.3(4)T中新增了根據DNS名稱來建立VPN peer 的命令，借助希網(3322.org)、88ip等動態域名解釋系統的配合，可以在VPN兩端都使用動態地址的ADSL線路,節省大筆費用。

要害命令:

et peer {host-name [dynamic] ip-address}

說明:

host-name 指定IPSec peer的DNS主機名稱，如:myhost.example.com。

dynamic (可選參數) 指定 IPSec peer 的主機名在需要建立IPSec通道的時候才通過DNS服務器解釋為IP地址。

ip-address 直接給出IPSec peer的IP地址(傳統的配置方式)。

實際環境中局域網內應在一臺機器上運行動態域名解釋客戶端程序，以將主機名nbo.3322.org注冊到服務器，注冊地址是路由器的外網端口地址。

version 12.3

!

hostname vpn-2

!

username mize passWord 0 http://mize.netbuddy.org

o aaa new-model

ip subnet-zero

!

vpdn enable

vpdn-group pppoe

request-dialin

rotocol pppoe

!

ip cef

ip name-server 202.96.134.133

!

crypto isakmp policy 1

authentication PRe-share

group 2

crypto isakmp key cisco hostname nbo.3322.org

!

crypto ipsec transform-set s2s esp-des esp-sha-hmac

!

crypto map mymap 10 ipsec-isakmp

et peer nbo.3322.org dynamic

et transform-set s2s

match address 110

!

interface FastEthernet0/0

o ip address

oe enable

oe-client dial-pool-number 1

!

interface dialer 1

ip address negotiated

mtu 1492

encapsulation ppp

ip nat outside

dialer pool 1

authentication pap callin

pap sent-username xxx password xxx

crypto map mymap

!

interface FastEthernet0/1

ip address 172.30.1.1 255.255.255.0

ip nat inside

!

ip nat inside source route-map nonat interface dialer 1 overload

ip classless

ip route 0.0.0.0 0.0.0.0 dialer 1

!

access-list 110 permit ip 172.30.1.0 0.0.0.255 172.16.0.0 0.0.255.255

access-list 110 permit ip 172.16.0.0 0.0.255.255 172.30.1.0 0.0.0.255

access-list 120 deny ip 172.30.1.0 0.0.0.255 172.16.0.0 0.0.255.255

access-list 120 permit ip 172.30.1.0 0.0.0.255 any

route-map nonat permit 10

match ip address 120

!

end