去年IPSec clien仅在iPhone 上设置成功。这次仔细按照Asus 官网指导，在Windows and Android 上都搞成了。
IPSec 有个pre-shared key, and user name + password. iOS 用这三个东西就能连，Windows and Android IPSec clients 没有地方填 pre-shared key, 要搞一个 CA certificate, 比较繁琐但终于搞定。
这几个路由器上自带的VPN server 我最喜欢 WireGuard, client 设置超级方便，移动设备scan QR code 就行，Windows 也就是一个configuration file。WireGuard 据说是一种peir to peir连接，据说两边地位是平等的。
Asus 官网 windows instruction 也要求install CA certificate，然后是 automatic, user name + password。我试过 L2TP/IPsec with pre-shared key，连不上，而且使劲连，停不下来，只能reboot PC。
ASUS WireGuard VPN server，把 Access Intra Net 关掉后，从外面连接VPN，仍然可以从“local ip" (i.e. something like 192.168.50.1) 进入路由器，看到后面连接的设备，包括（local）IP address, MAC address, etc. 唯一不一样的是我 remote desk top 不能连接了。
我目前美国手机计划不包括国际数据流量，另买好像比较贵。另外我的新手机是送的，条件是lockup两年不能用其他家的SIM。参考枫散仙大侠的科普贴《回国翻墙（科学上网）101》 我打算这么办：
1. 弄个Aialo的Chinacom eSim（没有电话号码，不能接电话短信），指望下飞机就能用微信联系亲友，也能在最尴尬的情况下hotspot 用手提电脑联网国外。
2. 带个老破手机能塞SIM卡就行，弄个最便宜的所谓“保号套餐”（据说中移动是8元/月，中电信5元/月，接电话、短信不另外收钱）。弄这个号码主要是用于申请银行账号，而且可以在新手机上用中移动的“无忧行”App（托管号码后）接电话、短信，这样有些银行业务（比如给微信钱包充值）哪怕离开中国也能继续。
3. 买个格行随身Wi-Fi，￥39设备含30GB/月试用流量，今后还可另买流量要用才买（这个价钱是黑白屏【标准版】（移动电信联通），敏感地区不能用。全国版的要彩屏版大概￥109才行）。把这个开着扔包里出门就有Wi-Fi了（新手机也无妨）。【据说要麻烦亲友用身份证实名认证，6个月不用要再次实名认证，这个有点不方便】
4. 家里路由器WireGuard VPN开着，能连就连，不能连就用散仙大侠介绍的机场翻墙方法，我想$2-3弄个“小鸡快跑”档次的机场就够了（￥15/月 300GB）。免费机场也可试试。
机场翻墙的客户端（client）我也都选免费的：
Windows and Android devices: Hiddify
iPhone: sing-box VT
这些只是计划，最后能否兑现回来再告诉大家。大家有什么建议我也都会考虑。
×××××××××××××××
cyberbug 说 Ikev2, L2TP/IPSec 好使，我也不懂各种类型的区别，我的路由器有 IPSec，也加上了。去年回国PPTP用了30天后被堵了，IPSec一直用到回家（40天）。
https://www.amazon.com/Happy-China-Macau-Unlimited-Travel/dp/B0CYSGV4B6/
SIM卡插上就能用，不需要注册激活什么之类的操作，国内是用联通的网
Sorry, cannot type Chinese.
再搞个travel router，所有设备走travel router，不用一个一的设置了。
不能搞site to site VPN
去年IPSec clien仅在iPhone 上设置成功。这次仔细按照Asus 官网指导，在Windows and Android 上都搞成了。
IPSec 有个pre-shared key, and user name + password. iOS 用这三个东西就能连，Windows and Android IPSec clients 没有地方填 pre-shared key, 要搞一个 CA certificate, 比较繁琐但终于搞定。
这几个路由器上自带的VPN server 我最喜欢 WireGuard, client 设置超级方便，移动设备scan QR code 就行，Windows 也就是一个configuration file。WireGuard 据说是一种peir to peir连接，据说两边地位是平等的。
如果国内对非商用IP wireguard没有墙的话，还是wireguard方便快速。
希望到时你给个经验。
我的路由器log经常有些hacker要进来的企图。如果没有从外面连进来的需求最好关掉。
路由器（至少我家的）一般都有些自我保护，hacker 入侵的企图连续失败几次后这个IP就会被拒绝访问几分钟。
路由器本身就是个小Linux embeded system，被攻击成功后hacker也可以在里面做窝，然后攻击本地设备或变成肉鸡攻击外面其他设备。
路由器后面连的本地设备比如PC、各类smart device都可能成为攻击对象。每打开一道对自己方便之门都是一道对外裂缝。
路由器上自带的VPN也是对外窗口，外面的设备成功连接后在某些设定下可以看到路由器后面的所有设备。有些VPN可以设定外面连进来的只能通过路由器上网不能看见内部设备。有些好像没得选，连上了就能看见。
否则 hacker admin/admin 就进来了
我的 Android 手机，tablet 都有三个选择：
IKEv2/IPSec MSCHAPv2, IKEv2/IPSec PSK, IKev2/IPSec RSA
Asus 官网 android instruction 是用 IKEv2/IPSec MSCHAPv2, 但要求 install CA certificate（然后只要 user name + password 就能连了，当然还要选择 installed CA certificate【估计 pre-shared key藏在 certificate 里面】）。我试过 IKEv2/IPSec PSK 不行，不知为什么。最后一个我不知道怎么用。
https://www.asus.com/support/faq/1033572/
Asus 官网 windows instruction 也要求install CA certificate，然后是 automatic, user name + password。我试过 L2TP/IPsec with pre-shared key，连不上，而且使劲连，停不下来，只能reboot PC。
https://www.asus.com/us/support/faq/1044397/
IPSec 没得选，是能进的。
ASUS WireGuard VPN server，把 Access Intra Net 关掉后，从外面连接VPN，仍然可以从“local ip" (i.e. something like 192.168.50.1) 进入路由器，看到后面连接的设备，包括（local）IP address, MAC address, etc. 唯一不一样的是我 remote desk top 不能连接了。