Павел Зайцев
Если понадобится выпустить сертификат для Android:
cd /etc/ipsec.d/
openssl pkcs12 -export -out me.p12 -inkey private/me.pem -in certs/me.pem -certfile cacerts/ca.pem -name "me" --legacy
И если нет типа IKEv2 при создании нового VPN-профиля, то просто установить strongSwan VPN Client, и настроить все там.
Обновление для тех, кто в 2023 идет по этой инструкции.
Столкнулся с проблемой, при которой во время установки профиля возникает ошибка, что пароль me.p12 неверный.
Во-первых, для Debian 12 понадобилось установить больше пакетов, чем в оригинальной инструкции:
sudo apt install strongswan strongswan-pki libcharon-extra-plugins libcharon-extauth-plugins libstrongswan-extra-plugins libtss2-tcti-tabrmd0
Во-вторых, в скрипте mobileconfig.sh есть команда
openssl pkcs12 -export -inkey /etc/ipsec.d/private/${CLIENT}.pem -in /etc/ipsec.d/certs/${CLIENT}.pem -name "${CLIENT}" -certfile /etc/ipsec.d/cacerts/${CA}.pem -password pass:${PKCS12PASSWORD} | base64
В нее стоит добавить -legacy:
openssl pkcs12 -legacy -export -inkey /etc/ipsec.d/private/${CLIENT}.pem -in /etc/ipsec.d/certs/${CLIENT}.pem -name "${CLIENT}" -certfile /etc/ipsec.d/cacerts/${CA}.pem -password pass:${PKCS12PASSWORD} | base64
Согласно статье
https://docs.strongswan.org/docs/5.9/interop/appleIkev2Profile.html
И в-третьих, если вы не в поездке, а пользуетесь VPN, чтобы, скажем, зайти в инсту, то убрать тэг <key>OnDemandEnabled</key> вместе с последующим тэгом <integer>, и тэг <key>OnDemandRules</key> вместе с последующим <array/>.
Поправка: внутри скрипта mobileconfig.sh добавьте опцию -legacy к команде openssl. Она там одна. Получится так
openssl pkcs12 -legacy -export -inkey... и так далее
Согласно статье
https://docs.strongswan.org/docs/5.9/interop/appleIkev2Profile.html
Вы не поверите, я просто перезагрузил телефон перед установкой профиля, и проблема исчезла. Видимо, что-то кэшировалось от старого профиля.
Не знаю, так как не пользуюсь Windows.
Но в системе есть настройка VPN: Start > Settings > Network & internet > VPN > Add VPN, а там уже можно поколдовать. Тип VPN нужно выбирать IKEv2, а дальше разбираться.