首先，还是聊下需求。为什么要做着ez***。
1.现在主流的防火墙产商，不是用户数限制就是并发连接限制，花钱嘛就是。
2.思科技术历史久长，兼容性较好，（微软win10貌似暂时不支持ez***客户端，有点蛋疼）
3.可以结合ACS进行控制，业务扩展性和管理都比现在主流的设备产商表现都要好
好了，上菜：
//启用AAA
Router(config)#aaa new-model
启用AAA登录验证，名为ez_***，验证方法为Local
Router(config)#aaa authentication login ez_***_authentication local
启用AAA网络授权，名为ez_***，验证方法为Local
Router(config)#aaa authorization network ez_***_authorization local
启用本地用户保护【保护console/aux都可以使用本地数据登录设备】
Router(config)#aaa authentication login default local 【这种配置默认是不允许存在】
Router(config)#aaa authentication login noallenuth line none
Router(config)#line aux 0
Router(config)#login authentication noallenuth
Router(config)#line console 0
Router(config)#login authentication noallenuth
配置路由器上的用户名与密码
Router(config)#username qujun privilege 15 secret 0 allenallenwozui6
定义SA参数
Router(config)#crypto isakmp policy 10
Router(config-isakmp)#encryption 3des
Router(config-isakmp)#authentication pre-share
Router(config-isakmp)#group 2
Router(config-isakmp)#exit
定义IP地址池
Router(config)#ip local pool ez_***_pool 10.16.2.1 10.16.2.200
定义ACL用于分离隧道，用于定义特定网段访问。这条不做的话，默认所有流量走隧道
Router(config)#ip access-list extended ez_split_tunnel
Router(config)#permit ip 172.21.99.0 0.0.0.255 any log
定义×××组及参数
Router(config)#crypto isakmp client configuration group ez_***_group 【客户端name：填写、后期可以定义不同的gourp通过acl发布不同的网段】//此组名***_group在配置×××客户端时需要填写
Router(config-isakmp-group)#key ez***test //预共享密钥 即：客户端密码
如下图演示：可忽略，最后会有完整演示
Router(config-isakmp-group)#pool ez_***_pool //指定地址池
Router(config-isakmp-group)#acl ez_split_tunnel //建立分离隧道
Router(config-isakmp-group)#save-password //使能客户端登录时保存密码，直接点击链接即可，如下图所示（不过出于安全控制考虑，建议不要开启该功能。你懂的）
Router(config-isakmp-group)#max-users 1000 //最大使能拨入用户数1000个
Router(config-isakmp-group)#max-logins 10 //最大使能拨入10用户同时进入认证状态，主要是防DOS***
Router(config-isakmp-group)#exit
定义传输集
Router(config)#crypto ipsec transform-set ez_tran_set esp-aes esp-sha-hmac
Router(cfg-crypto-trans)#exit
定义动态的MAP条目
Router(config)#crypto dynamic-map ez_dymap 10
Router(config-crypto-map)#set transform-set ez_tran_set
Router(config-crypto-map)#reverse-route
Router(config-crypto-map)#exit
定义静态的MAP条目
Router(config)#cyrpto map ez_***_map client authentication list ez_***_authentication
Router(config)#cyrpto map ez_***_map isakmap authorization list ez_***_authorization
Router(config)#crypto map ez_***_map client configuration address respond //配置响应客户端的IP地址请求
Router(config)#crypto map ez_***_map 1000 ipsec-isakmp dynamic ez_dymap
将MAP应用到接口F0/0
Router(config)#int f0/0
Router(config-if)#crypto map ez_***_map
拨入客户端配置：
软件，我就不贴了，各位随便找个资源站下载下来即可，或者留言给我。找我QQ也可以549675970，我私聊发给你。
首先是建立profile：
connection entry：顾名思义名字，随便起
host：即你的路由器公网出接口地址
name：就是前面提到组，往上刷一下明白我什么意思
passwd：密码咯
然后完了就可以直接拨入上了，如果此时拨不上还有报错等等，就不要继续问我了，肯定是你配置出问题了。非常简单。
后期会继续更新一些常见的企业应用场景等。欢迎期待。（: 欢迎各位路过大拿指导小弟。