参考答案:
【问题1】（4分，各1分）
（1）（2）c、d（顺序可交换）
（3）（4）b、d（顺序可交换）
【问题2】（4分，各1分）
（5）加密算法为DES
（6）hash md5
（7）认证采用预共享密钥
（8）86400
【问题3】（4分，各2分）
（9） 172.30.2.2
（10）172.30.1.2
【问题4】（3分，各1分）
（11）10.0.1.3
（12）10.0.2.3
（13）10.0.2.3
详细解析:
IPSec有隧道和传送两种工作方式。在隧道方式中，用户的整个IP数据包被用来计算ESP头，且被加密，ESP头和加密用户数据被封装在一个新的 IP 数据包中；在传送方式中，只是传输层（如TCP、UDP、ICMP）数据被用来计算ESP头，ESP头和被加密的传输层数据被放置在原IP包头后面。当IPSec通信的一端为安全网关时，必须采用隧道方式。
IPsec使用两种协议来提供通信安全――身份验证报头（AH）和封装式安全措施负载（ESP）。
身份验证报头（AH）可对整个数据包（IP 报头与数据包中的数据负载）提供身份验证、完整性与抗重播保护。但是它不提供保密性，即它不对数据进行加密。数据可以读取，但是禁止修改。
封装式安全措施负载（ESP）不仅为IP负载提供身份验证、完整性和抗重播保护，还提供机密性。传输模式中的ESP不对整个数据包进行签名。只对IP负载（而不对IP报头）进行保护。ESP可以独立使用，也可与AH组合使用。
VPN的基本配置：
l 配置信息描述：
一边服务器的网络子网为192.168.1.0/24，路由器为100.10.15.1；另一边的服务器为192.168.10.0/24，路由器为200.20.25.1。
l 主要步骤：
1. 确定一个预先共享的密钥（保密密码）（以下例子保密密码假设为testpwd）
2. 为SA协商过程配置IKE。
3. 配置IPSec。
（一）配置IKE
CsaiR(config)# crypto isakmp policy 1
【注释】policy 1表示策略1，假如想多配几VPN，可以写成policy 2、policy 3…
CsaiR (config-isakmp)# group 1
【注释】group命令有两个参数值：1和2。参数值1表示密钥使用768位密钥，参数值2表示密钥使用1024位密钥，显然后一种密钥安全性高，但消耗更多的CPU时间。在通信比较少时，最好使用group 1长度的密钥。
CsaiR (config-isakmp)# authentication pre-share
【注释】告诉路由器要使用预先共享的密码。
CsaiR (config-isakmp)# lifetime 3600
【注释】对生成新SA的周期进行调整。这个值以秒为单位，默认值为86400（24小时）。值得注意的是两端的路由器都要设置相同的SA周期，否则VPN在正常初始化之后，将会在较短的一个SA周期到达中断。
CsaiR (config)# crypto isakmp key test address 200.20.25.1
【注释】返回到全局设置模式确定要使用的预先共享密钥和指归VPN另一端路由器IP地址，即目的路由器IP地址。相应地在另一端路由器配置也和以上命令类似，只不过把IP地址改成100.10.15.1。
（二）配置IPSec
CsaiR (config)# access-list 130 permit ip 192.168.1.0 0.0.0.255 172.16.10.0 0.0.0.255
【注释】在这里使用的访问列表号不能与任何过滤访问列表相同，应该使用不同的访问列表号来标识VPN规则。
CsaiR (config)# crypto ipsec transform-set vpn1 ah-md5-hmac esp-des esp-md5-hmac
【注释】这里在两端路由器唯一不同的参数是vpn1，这是为这种选项组合所定义的名称。在两端的路由器上，这个名称可以相同，也可以不同。以上命令是定义所使用的IPSec参数。为了加强安全性，要启动验证报头。由于两个网络都使用私有地址空间，需要通过隧道传输数据，因此还要使用安全封装协议。最后，还要定义DES作为保密密码钥加密算法。
CsaiR (config)# crypto map shortsec 60 ipsec-isakmp
【注释】以上命令为定义生成新保密密钥的周期。如果攻击者破解了保密密钥，他就能够解使用同一个密钥的所有通信。基于这个原因，需要设置一个较短的密钥更新周期。比如，每分钟生成一个新密钥。这个命令在VPN两端的路由器上必须匹配。参数shortsec是我们给这个配置定义的名称，稍后可以将它与路由器的外部接口建立关联。
CsaiR (config-crypto-map)# set peer 200.20.25.1
【注释】这是标识对方路由器的合法IP地址。在远程路由器上也要输入类似命令，只是对方路由器地址应该是100.10.15.1。
CsaiR (config-crypto-map)# set transform-set vpn1
CsaiR (config-crypto-map)# match address 130
【注释】这两个命令分别标识用于这个连接的传输设置和访问列表。
CsaiR (config)#interface s0
CsaiR (config-if)#crypto map shortsec
【注释】将刚才定义的密码图应用到路由器的外部接口。
最后一步保存运行配置，最后测试这个VPN的连接，并且确保通信是按照预期规划进行的。