一.概述：
很多情况下，为了安全，避免一边拨入公司内网，又同时上互联网的情况，EzVPN服务端没有配置隧道分离。但是如果想要这样，而总部侧的设备又没有权限修改怎么办？下面分别以EzVPN硬件客户端和软件客户端来介绍。
测试拓扑参照：http://333234.blog.51cto.com/323234/1202965。
其实EzVPN客户端的解决方法跟上面的类似，但是EzVPN软件客户端通过删除默认路由的方式没有测试成功，PPTP VPN和L2TP IpSEC VPN这种方式是可行的。
二.EzVPN硬件客户端解决方法：
A.分析不能直接上公网的原因：
通常情况下，为保证在没有VPN拨入总部时能上互联网，EzVPN硬件客户端肯应该配置了NAT，而VPN连接后不能上公网，是因为流量从配置crypto ipsec client ezvpn ezvpn inside端口进入，同时又从配置了crypto ipsec client ezvpn ezvpn outside出的情况下，被VPN加密。这两个条件是需要同时满足的，否则不会被VPN加密。这个其实与流量只有从IP NAT inside口进入，同时又从IP NAT outide口出才会被NAT情况类似。
因此解决方法就是：
①先配置一个loopback口，配置IP,并且配置IP NAT inside。
②在EzVPN客户端内网接口设定route-map，除访问总部内网流量之外，其他流量都被打到loopback口。
③而loopb口只配置了IP NAT inside，没有配置crypto ipsec client ezvpn ezvpn inside,因而不会被VPN加密。
B.配置方法：
①Branch已经配置了动态PAT
interface Ethernet0/0
ip nat inside
interface Ethernet0/1
ip nat outside
ip access-list extended pat
permit ip any any
ip nat inside source list pat interface Ethernet0/1 overload