Què compta com a inici de sessió VPN correcte en un informe?

Tres informes sobre la mateixa VPN poden discrepar sense que cap d’ells sigui incorrecte, perquè cadascun entén d’una manera diferent un inici de sessió correcte. Un compta les connexions que van arribar al servidor, un altre compta les identitats que va acceptar el pas d’autenticació, i un tercer compta les sessions que van acabar la inicialització. Triar-ne un abans de recollir dades és la diferència entre una mètrica i una discussió.

La pregunta útil no és quina definició és correcta en general, sinó sobre quin resultat actuarà el lector.

Tres esdeveniments diferents porten la mateixa etiqueta

Un servidor accepta una connexió de transport tan bon punt s’acaba l’apretada de mans, cosa que passa abans que es presenti cap credencial. Aquest esdeveniment us diu que el port és accessible i que el camí de xarxa funciona, i no us diu res sobre qui s’ha connectat. L’autenticació és un pas posterior que pot fallar, i també pot reeixir per a una identitat a la qual mai no es permet entrar a la xarxa.

La inicialització arriba després de l’autenticació, i un túnel que acaba d’inicialitzar-se pot quedar inactiu la resta del dia. La sol·licitud d’una aplicació és l’únic esdeveniment que demostra que un usuari va arribar a alguna cosa que volia. Aquestes etapes s’encasten, així que el recompte de la més àmplia sempre superarà el de la més estreta. Res en la seqüència d’esdeveniments no demostra que l’usuari fos productiu, només que cada porta es va obrir al seu torn.

La documentació del producte sol anomenar els estats explícitament. OpenVPN notes de la interfície de gestió separen la connexió TCP, el resultat de l’autenticació i la inicialització completada, que és exactament la distinció que necessita un informe. Un estat etiquetat com a connected no certifica que un recurs compartit o una operació de base de dades hagi reeixit després.

Compteu sessions, identitats o sol·licituds

Decidiu la unitat abans de decidir el nombre. El recompte de sessions respon quantes vegades s’ha fet servir el servei, el d’identitats respon quants comptes diferents han aparegut, i el de sol·licituds respon quanta feina s’ha fet. Els proveïdors també ho compten de maneres diferents, i un dret mesurat en usuaris no es pot comparar amb un gràfic mesurat en sessions. Triar la unitat equivocada és com un pla de capacitat acaba dimensionat per a la quantitat incorrecta.

Les reconnexions són on els recomptes de sessions s’inflen sense soroll. Un client que cau cada pocs minuts i es torna a connectar genera desenes de registres de sessió per a una sola persona, així que un informe que compta sessions com a persones sobreestimarà l’ús justament en les condicions en què la fiabilitat és pitjor. Escriviu la regla: una sessió nova després d’una reconnexió compta a part, o continua l’anterior dins d’una finestra definida.

Les adreces són la identitat més feble disponible. Una adreça de túnel es pot reassignar a un altre usuari pocs minuts després, i dos usuaris poden compartir una adreça mitjançant traducció. Adjunteu l’identificador de compte de l’esdeveniment d’autenticació en lloc d’inferir una persona a partir d’una adreça del registre.

Poseu la definició a prova amb un dia real

Agafeu un sol dia de registres i compteu el mateix trànsit de tres maneres. Si els tres nombres són propers, potser la definició no importa gaire per al vostre propòsit; si difereixen per un factor gran, l’informe ha de dir quina fa servir.

journalctl -u openvpn-server@server --since "2026-10-01" --until "2026-10-02" | grep -c "Initialization Sequence Completed"
journalctl -u openvpn-server@server --since "2026-10-01" --until "2026-10-02" | grep -c "Peer Connection Initiated"
awk '/VERIFY OK/ {print $NF}' /var/log/openvpn-server.log | sort -u | wc -l

Executeu la mateixa extracció en un dia amb una caiguda coneguda i compareu la forma en lloc del total. Un dia en què l’enllaç superior va tremolar hauria de mostrar un pic en els esdeveniments de connexió amb un augment moderat de comptes diferents, i si no ho fa, és probable que el comptador mesuri una altra cosa que la que afirma l’informe.

Conserveu la consulta mateixa al costat del resultat. Qualsevol pot reproduir un filtre documentat, i un nombre sense el seu filtre no és auditable.

Informeu del que estableix l’esdeveniment

Un intent fallit mereix una categoria pròpia en lloc de quedar plegat cap a qualsevol dels dos costats. Els fracassos inclouen contrasenyes mal escrites, clients amb un perfil desactualitzat i sondejos deliberats, i els tres tenen respostes diferents. Un fracàs no és prova d’una intrusió reeixida, i tampoc no és prova d’innocuïtat.

Escriviu la conclusió amb la força que l’esdeveniment permet: aquest compte s’ha autenticat en aquest servei en aquesta finestra, des d’aquesta font, i la sessió ha arribat a la inicialització. Qualsevol cosa sobre el que l’usuari va fer després requereix un registre del costat de l’aplicació i no més dades del túnel.

Quan l’informe arriba a algú que prendrà una decisió de llicència, capacitat o seguretat, poseu la definició a la primera línia i no en una nota al peu. La definició és la troballa, i el nombre només té sentit dins d’ella.