在Cisco 的解决方案中，IPSEC VPN通常建立在IOS Router、VPN 集中器、PIX以及WinPC之间，其中WinPC既可以使用Windows自带的组件，也可以使用Cisco VPN client 程序，后者配置和使用都较为便利。

　　 问题一的拓扑如下：

　　 Lan1（ACS）-----PIX525-----Internet------Router------Lan2

　　 PIX 525是VPN Server, 在Lan2 中有多个客户。 客户端通过Router 以PAT（端口地址转换）方式连接到Internet，使用Cisco VPN Client 软件与PIX 525建立VPN 连接。当Lan2中只有一个客户与PIX 525建立连接时，一切正常；但如果另一个客户也要发起VPN连接的话，前一个客户的连接就会被断掉。问题的原因可能是PIX 525按IP地址识别SA,对同一IP地址，不能建立两个SA。

　　 解决的方法是使用PIX 6.3版本软件的一个新特性“TCP transparancy”,该特性允许客户端把IPSEC数据打包通过TCP或UDP的一个端口（默认10000）进行传输，关键命令是：isakmp nat-traversal。

　　 完整配置：

　　 PIX Version 6.3(1)

　　 interface ethernet0 auto

　　 interface ethernet1 auto

　　 interface ethernet2 auto

　　 nameif ethernet0 outside security0

　　 nameif ethernet1 inside security100

　　 nameif ethernet2 dmz security50

　　 enable password ******************** encrypted

　　 passwd ******************** encrypted

　　 hostname TEST

　　 domain-name jyzq.cn

　　 fixup protocol ftp 21

　　 fixup protocol h323 h225 1720

　　 fixup protocol h323 ras 1718-1719

　　 fixup protocol http 80

　　 fixup protocol ils 389

　　 fixup protocol rsh 514

　　 fixup protocol rtsp 554

　　 fixup protocol sip 5060

　　 fixup protocol sip udp 5060

　　 no fixup protocol skinny 2000

　　 fixup protocol smtp 25

　　 fixup protocol sqlnet 1521

　　 names

　　 access-list 101 permit ip 10.1.1.0 255.255.255.0 10.2.1.0 255.255.255.0

　　 access-list 102 permit ip 10.1.2.0 255.255.255.0 10.2.2.0 255.255.255.0

　　 access-list no-nat permit ip 10.1.1.0 255.255.255.0 10.2.1.0 255.255.255.0

　　 access-list no-nat permit ip 10.1.2.0 255.255.255.0 10.2.2.0 255.255.255.0

　　 pager lines 24

　　 mtu outside 1500

　　 mtu inside 1500