说好的不需要客户端证书的 iOS 8 的 IKEv2 On-Demand VPN 教程来了

@goodbest 估计是iOS的实现问题，还是等等好了。。。

@wzxjohn 有空能帮忙建一个配置文件么？yosemite b1安装的时候提示“停止供货了”，只能等正式版出了再装。

@GPU 请安装B2

关于60L说的。
考虑到ios可能对路由条目数量有限制，所以加了这个。一个别人ios anyconnect正在用的配置。

leftsubnet = 103.0.0.0/8,106.0.0.0/8,107.0.0.0/8,108.0.0.0/8,141.0.0.0/8,153.0.0.0/8,160.0.0.0/8,166.0.0.0/8,17.0.0.0/8,173.0.0.0/8,176.0.0.0/8,178.0.0.0/8,184.0.0.0/8,194.0.0.0/8,198.0.0.0/8,199.0.0.0/8,203.0.0.0/8,204.0.0.0/8,205.0.0.0/8,208.0.0.0/8,209.0.0.0/8,210.0.0.0/8,216.0.0.0/8,3.0.0.0/8,4.0.0.0/8,31.0.0.0/8,46.0.0.0/8,50.0.0.0/8,54.0.0.0/8,61.0.0.0/8,64.0.0.0/8,67.0.0.0/8,68.0.0.0/8,69.0.0.0/8,70.0.0.0/8,72.0.0.0/8,74.0.0.0/8,75.0.0.0/8,76.0.0.0/8,77.0.0.0/8,79.0.0.0/8,8.0.0.0/8


结果推特、dropbox、youtube等都无法访问，但奇怪的是谷歌完全没问题。

所以我现在也搞不清到底是谁出了问题

@goodbest 会不会推特和DB等是DNS的问题？这个我还真没法测试。。。因为我人在墙外，只能靠你们了！

@wzxjohn 下面这段代码的意思就是无论任何条件只要连接3G，Wifi网络设备（注意，不一定是能上网），vpn都自动连接，等于always on，请自行阅读apple官网文档。我目前就是用这段代码，已经验证，无论ikev1，还是v2，vpn都是自动连接。

key>OnDemandEnabled</key>
<integer>1</integer>
<key>OnDemandRules</key>
<array>
<dict>
<key>Action</key>
<string>Connect</string>
</dict>
</array>

@cattyhouse 我非常确信这段代码期中OnDemandEnabled = 1的含义是是否在安装时默认开启On-Demand选项，这个请明知。还有这段代码确实可以实现类似与Always On的功能，但是这并不是Always On VPN。或者说其实On-Demand是Always On的高级版本，可以根据域名来选择。

@wzxjohn Beta 2 搞了一晚上也是无法安装。停止供货了。

@GPU 我说错了，现在是Beta5 GM2了

@wzxjohn 貌似Beta5 GM2没有完整的包

@wzxjohn email 了一个邮件发了配置文件给你 ，麻烦帮忙看看是不是有问题 。谢了。

@wzxjohn
wget http://download.strongswan.org/strongswan-5.2.0.tar.bz2
tar xjvf strongswan-5.2.0.tar.bz2; cd strongswan-5.2.0
./configure --prefix=/usr --sysconfdir=/etc --enable-eap-mschapv2 --enable-eap-identity --enable-eap-peap --enable-openssl --enable-md4
make & make install

以上是strongswan 最新版完整的编译命令 .
如果使用apt-get 默认的源 版本是4.6的 ,官方最新是5.2.0

看到lz把基于domain的ondemand rule改为了类似always on的connect


于是我本人使用ikev2的主要目的还是翻墙，所以还是需要考虑让某些国内网址不走代理。
否则等vpn自动连接了以后，访问国内网站还要手动关vpn才行，可能稍有不便。
而我60L的方法又测试失败了。


于是目前我考虑这样设置：
http://pastebin.com/X1h0fJXS

其中的第一大块是被墙的网址，如果访问的话就自动连接vpn。

第二大块网址是即使当前已经连接了vpn，但这些网址也会不走vpn的。这里适合设置成国内视频站之类的网址。（我这里设置成了看自己ip的站点，方便测试。）
这一块网址我打算借用一下现有的轮子，比如这里https://github.com/linusyang/MobileShadowSocks/blob/master/MobileShadowSocks/auto.pac


另外我打算马上打算测试一下通配符网址能否用，如果可以的话就可以直接bypass *.cn

@goodbest 请问，测试结果怎样呢？

@zlbruce *.cn可用
但如果rule加太多域名会拖慢速度...几百个应该是极限了

@goodbest 多谢

@goodbest 可以自动断开VPN并在需要的时候重连么？就算网络没有变化？

@wzxjohn 访问第二段里面的网站，vpn的标志还在（也就是vpn并未断开），但实际上流量没走vpn（访问ip138看ip就能看出来，通过页面加载速度也能感觉出来）。

@goodbest 哦？还有这种功效？我要试试。。。

@goodbest 你是否把https://github.com/linusyang/MobileShadowSocks/blob/master/MobileShadowSocks/auto.pac中的域名都放到了第二块网址中呢？太多rule拖慢速度的程度是怎么样的呢？