思科配置IPSec主要分为三个阶段：预共享密钥协商（阶段1）、加密映射（阶段2）和策略应用（阶段3）。以下是详细步骤及注意事项：

一、预共享密钥协商（阶段1）

配置ISAKMP策略

定义加密算法、认证算法、密钥生成长度等参数。例如：

crypto isakmp policy 10

hash sha

authentication pre-share

encryption 3des

group 2

lifetime 28800

authentication：选择认证方式（如预共享密钥）

encryption：指定加密算法（如3DES）

group：密钥长度（如768位）

lifetime：协商有效期（秒）

配置预共享密钥

为每对通信方配置相同的预共享密钥：

   crypto isakmp key cisco address 200.0.0.2  

或使用密钥环管理：

二、加密映射（阶段2）

定义转换集（Transform Set）

指定传输层加密算法和认证算法：

crypto ipsec transform-set TS ah-md5-hmac mode tunnel

ah-md5-hmac：认证算法组合（认证头+数据完整性校验）

关联转换集与策略

将转换集应用到ISAKMP策略中：

三、策略应用（阶段3）

应用安全策略到接口

将加密映射关联到物理接口：

interface GigabitEthernet0/0

crypto map ipsec_map 10

   或应用到安全区域：  

security-zone inside

ipsec-isakmp 10

使用show crypto isakmp sa或ping测试连接：

   ping 192.168.2.3

注意事项

双向配置 ：需在两台设备上分别配置相同的策略和密钥

NAT穿越 ：若存在NAT设备，需配置NAT穿越（NAT-T）

密钥管理 ：建议使用密钥环（keyring）管理多对密钥

兼容性 ：部分老旧设备可能不支持最新算法（如ESP），需根据设备型号调整

以上步骤综合了不同网络场景的配置方法，实际应用中需根据具体需求调整参数。