Strongswan 的 ikev2， Windows 发起连接，服务器总是分配到黑莓那个 conn 配置。致使电脑直接死机

[thidnh]

conn rem
keyexchange=ikev2
leftauth=psk
leftid=抹去
rightauth=eap-mschapv2
rightsendcert=never
eap_identity=%any
auto=add

conn windows
keyexchange=ikev2
ike=aes256-sha1-modp1024!
rekey=no
left=%defaultroute
leftauth=pubkey
leftcert=serverCert.pem
leftsendcert=always
rightauth=eap-mschapv2
rightsourceip=172.0.0.0/24
rightsendcert=never
eap_identity=%any
auto=add


上面那个是给黑莓的，下面是Windows的。我查看日志，Windows发起连接后，服务器直接分配到黑莓那个conn。请问这应该怎么解决啊
@cattyhouse
@Luzifer
@aeshfawre
@mortal
@vision92
@764664
@jasontse

[Luzifer]

@thidnh 回 18 楼， 你的ipsec.conf配置里ios是使用 IKEv1 吧.

https://wiki.strongswan.org/projects/strongswan/wiki/AppleIKEv2Profile

看了眼WIKI，While iOS 8 and Mac OS X 10.10 now natively support IKEv2, the VPN application's GUI has not yet been updated to allow configuration of such connections on the devices themselves. 原生支持IKEv2.

可以实验下，IKEv2下锁屏会不会断.

/t/137653 @wzxjohn 他说“所谓的On Demand就是说在检测到网络变化后，如果你访问了特定的URL系统就会自动连接VPN，基本等同于Always On。”

他在111楼回复 “4. 锁屏不知道会不会断，但是断了会自动重连”

你可以问问 @wzxjohn iOS锁屏会不会断。

我看 @wzxjohn 实验了 eap-mschapv2 。
wiki里还有Certificate --- EAP-TLS --- Pre-shared key (PSK) 认证。

可以都试试。 我的设备是黑莓， 苹果是女王大人的， 没空闲时间给我测。😼
多设备还是路由翻省事。嚯嚯

[thidnh]

@Luzifer 黑莓做主力手机？很多不方便啊，软件没有。最近被last pass搞死，每次打开都要输密码

[thidnh]

@Luzifer 这个关键是我没Mac，没法写profile，win下写不了

[Luzifer]

咱是商务人士。😲 😲 😲
玩笑话.
我就电话（国内联系人），邮件（国外联系人）.
对我来说, 就没有比黑莓更好的了. 晚上不回家不担心第二天没电, 这点秒杀其他.

[Luzifer]

@thidnh 那个配置文件不是记事本就可以写的么？

[thidnh]

@Luzifer 不太会写，写了两天都没成功。放弃了

[Luzifer]

@thidnh 你不会我更不会了. 密密麻麻的.


晚安了。

[wzxjohn]

@thidnh profile就是个xml，你下了我的直接改了服务器地址用户名密码就可以了。
@Luzifer 我的手机锁屏时候有时候Wifi都断，所以我也不确定到底锁屏会不会断。。。

[thidnh]

@wzxjohn 请教你ios上用的ikev2是下面哪个配置啊

conn IPSec-IKEv2
keyexchange=ikev2
leftid=@you.domain.in.cert
#your servr name in cert "server.pem"
rightid=*@every.string.you.want
#define a suffix for user account
auto=add

conn IPSec-IKEv2-EAP
also="IPSec-IKEv2"
rightauth=eap-mschapv2
#define auth type to EAP
rightsendcert=never
#do not need client cert
eap_identity=%any
#any user can login successfully

[thidnh]

@wzxjohn 瞄了眼看到了[e-mail]，似乎是conn IPSec-IKEv2这个吧？再请问rightid=*@every.string.you.want里面的*是随意字符还是就保留*

[fuck010bj]

leftid 和esp没设置

[wzxjohn]

@thidnh 两个都可以，一个是证书认证一个是EAP认证，只是认证方法不一样。
@thidnh *是任意字符的意思，配置文件原生支持通配符。

[thidnh]

@wzxjohn 报错

12[CFG] looking for peer configs matching 抹去IP[抹去域名]...抹去IP[抹去第一个用户名@IPSec]
12[CFG] no matching peer config found

[thidnh]

@wzxjohn 总结下，我服务器ipsec.conf和你改成一模一样，ios配置文件下载你的，改了用户名 密码 两个域名。

1.请问你的配置文件走的是哪个conn？
2.报错，麻烦看下原因。多谢

12[CFG] looking for peer configs matching 抹去IP[抹去域名]...抹去IP[抹去第一个用户名@IPSec]
12[CFG] no matching peer config found

[thidnh]

@wzxjohn 附上我的配置文件。@域名中确定要保留@是吧？ 我 rightid=*@IPSec可以？

conn IPSec-IKEv2
keyexchange=ikev2
leftid=@域名
rightid=*@IPSec
auto=add

conn IPSec-IKEv2-EAP
also="IPSec-IKEv2"
rightauth=eap-mschapv2
#define auth type to EAP
rightsendcert=never
#do not need client cert
eap_identity=%any
#any user can login successfully

[Remember]

@wzxjohn
@thidnh

所以rightid 应该怎么设置？