O que é VPN sob demanda e como faço para funcionar com iOS?

Sei o que é uma VPN e fiz uma pequena leitura sobre como configurar a VPN sob demanda. No entanto, estou confuso.

A VPN sob demanda é essencialmente um certificado em vez de um prompt de senha em cada conexão? Os aplicativos precisam cuidar disso especificamente ou o iOS lida com ele sempre que vê que um aplicativo deseja VPN sob demanda? O que é VPN sob demanda?

EDIT: Esta resposta está desatualizada. Aqui estão alguns links mais recentes que podem ajudá-lo se você estiver tentando configurar o VPN On Demand:

• https://support.apple.com/apple-configurator
• https://support.apple.com/guide/mdm/vpn-overview-mdm2d2adb35d/1/web/1
• https://developer.apple.com/documentation/devicemanagement/vpn
• https://developer.apple.com/documentation/networkextension/personal_vpn/vpn_on_demand_rules

Sim, envolve autenticação por certificado. A partir deste artigo da Apple:

O iOS suporta VPN On Demand para redes que usam autenticação baseada em certificado. Você especifica quais domínios requerem uma conexão VPN usando um perfil de configuração.

A conexão VPN é feita sempre que o dispositivo tenta se conectar a determinados domínios. Aplicativos específicos não precisam fazer nada; assim que eles tentam acessar esse servidor, a conexão VPN é iniciada.

Visite esta página de suporte para obter informações sobre como usar o Utilitário de Configuração para criar um perfil de configuração que configure o VPN On Demand.