Kio validas kiel sukcesa VPN-ensaluto en raporto?

Tri raportoj pri la sama VPN povas malkonsenti sen ke iu ajn el ili estas malĝusta, ĉar ĉiu komprenas ion alian per sukcesa ensaluto. Unu kalkulas konektojn, kiuj atingis la servilon, alia kalkulas identecojn, kiujn akceptis la aŭtentiga paŝo, kaj tria kalkulas sesiojn, kiuj finis la pravigon. Elekti unu el ili antaŭ ol kolekti datumojn estas la diferenco inter mezuro kaj argumento.

La utila demando ne estas, kiu difino estas ĝenerale ĝusta, sed pri kiu rezulto la leganto agos.

Tri malsamaj eventoj portas la saman etikedon

Servilo akceptas transportan konekton tuj kiam la manpremo finiĝas, kaj tio okazas antaŭ ol iu ajn legitimilo estas prezentita. Tiu evento diras al vi, ke la pordo estas atingebla kaj ke la reta vojo funkcias, kaj ĝi diras nenion pri tio, kiu konektiĝis. Aŭtentigo estas posta paŝo, kiu povas malsukcesi, kaj ĝi ankaŭ povas sukcesi por identeco, al kiu neniam estas permesite eniri la reton.

Pravigo venas post aŭtentigo, kaj tunelo, kiu finis pravigon, povas resti senokupa por la restaĵo de la tago. Petaĵo de aplikaĵo estas la sola evento, kiu montras, ke uzanto atingis ion, kion ĝi volis. Ĉi tiuj stadioj nestiĝas, do kalkulo de la plej larĝa ĉiam superos kalkulon de la plej mallarĝa. Nenio en la sinsekvo de eventoj pruvas, ke la uzanto estis produktiva, nur ke ĉiu pordego malfermiĝis laŭvice.

Produkta dokumentaro kutime eksplicite nomas la statojn. La OpenVPN notoj pri la administra interfaco apartigas la TCP-konekton, la aŭtentigan rezulton kaj la finitan pravigon, kio estas ĝuste la distingo, kiun raporto bezonas. Stato etikedita kiel connected ne atestas, ke dosierkunhavigo aŭ datumbaza operacio poste sukcesis.

Kalkulu sesiojn, identecojn aŭ petojn

Decidu la unuon antaŭ ol decidi la nombron. Sesia kalkulo respondas, kiom da fojoj la servo estis uzata, identeca kalkulo respondas, kiom da malsamaj kontoj aperis, kaj peta kalkulo respondas, kiom da laboro estis farita. Vendistoj ankaŭ kalkulas tion malsame, kaj rajto mezurita per uzantoj ne kompareblas kun grafikaĵo mezurita per sesioj. Elekti la malĝustan estas kiel kapacita plano finiĝas dimensiita por la malĝusta kvanto.

Rekonektoj estas la loko, kie sesiaj kalkuloj kviete ŝveliĝas. Kliento, kiu falas ĉiun kelkajn minutojn kaj rekonektiĝas, produktas dekojn da sesiaj rikordoj por unu persono, do raporto, kiu kalkulas sesiojn kiel homojn, troigos la uzon ĝuste en la kondiĉoj, kie la fidindeco estas plej malbona. Skribu la regulon: nova sesio post rekonekto kalkuliĝas aparte, aŭ ĝi daŭrigas la antaŭan ene de difinita fenestro.

Adresoj estas la plej malforta disponebla identeco. Tunela adreso povas esti transdonita al alia uzanto kelkajn minutojn poste, kaj du uzantoj povas dividi unu adreson per traduko. Aldonu la kontan identigilon el la aŭtentiga evento anstataŭ deduki personon el adreso en protokolo.

Testu la difinon per unu reala tago

Prenu unu tagon da protokoloj kaj kalkulu la saman trafikon tri manieroj. Se la tri nombroj estas proksimaj, la difino eble ne multe gravas por via celo; se ili diferencas per granda faktoro, la raporto devas diri, kiun ĝi uzas.

journalctl -u openvpn-server@server --since "2026-10-01" --until "2026-10-02" | grep -c "Initialization Sequence Completed"
journalctl -u openvpn-server@server --since "2026-10-01" --until "2026-10-02" | grep -c "Peer Connection Initiated"
awk '/VERIFY OK/ {print $NF}' /var/log/openvpn-server.log | sort -u | wc -l

Rulu la saman eltiron en tago kun konata interrompo kaj komparu la formon anstataŭ la sumon. Tago, kiam la suprena ligo tremis, devus montri pinton en konektaj eventoj kun modera kresko de malsamaj kontoj, kaj se ĝi ne montras tion, la nombrilo verŝajne mezuras ion alian ol tion, kion asertas la raporto.

Konservu la demandon mem apud la rezulto. Ĉiu ajn povas reprodukti dokumentitan filtron, kaj nombro sen sia filtro ne estas aŭdebla.

Raportu, kion pruvas la evento

Malsukcesa provo meritas sian propran kategorion anstataŭ esti faldita en iun ajn flankon. Malsukcesoj inkluzivas mistajpitajn pasvortojn, klientojn kun malnova profilo kaj intencan sondadon, kaj ĉiuj tri havas malsamajn respondojn. Malsukceso ne estas pruvo de sukcesa entrudiĝo, kaj ĝi ankaŭ ne estas pruvo de sendanĝereco.

Skribu la konkludon kun la forto, kiun la evento subtenas: ĉi tiu konto aŭtentiĝis al ĉi tiu servo en ĉi tiu fenestro, el ĉi tiu fonto, kaj la sesio atingis pravigon. Ĉio pri tio, kion la uzanto poste faris, postulas rikordon ĉe la aplikaĵa flanko anstataŭ pli da tunelaj datumoj.

Kiam la raporto iras al iu, kiu faros decidon pri licencado, kapacito aŭ sekureco, metu la difinon en la unuan linion anstataŭ en piednoton. La difino estas la trovaĵo, kaj la nombro havas sencon nur ene de ĝi.