Mit számít sikeres VPN-bejelentkezésnek egy jelentésben?

Három jelentés ugyanarról a VPN-ről eltérhet anélkül, hogy bármelyik hibás lenne, mert mindegyik mást ért sikeres bejelentkezésen. Az egyik azokat a kapcsolatokat számolja, amelyek elérték a szervert, a másik azokat az identitásokat, amelyeket a hitelesítési lépés elfogadott, a harmadik pedig azokat a munkameneteket, amelyek befejezték az inicializálást. Egyikük kiválasztása az adatgyűjtés előtt a különbség egy mérőszám és egy érv között.

A hasznos kérdés nem az, melyik meghatározás helyes általában, hanem hogy melyik eredményre fog az olvasó cselekedni.

Három különböző esemény ugyanazt a címkét viseli

A szerver elfogad egy szállítási kapcsolatot, amint a kézfogás befejeződik, és ez még azelőtt történik, hogy bármilyen hitelesítő adat bemutatásra kerülne. Ez az esemény azt mondja meg, hogy a port elérhető és a hálózati útvonal működik, és semmit nem mond arról, ki kapcsolódott. A hitelesítés egy későbbi lépés, amely meghiúsulhat, és olyan identitás számára is sikerülhet, amelyet soha nem engednek a hálózatra.

Az inicializálás a hitelesítés után következik, és egy alagút, amely befejezte az inicializálást, a nap hátralevő részében tétlenül állhat. Egy alkalmazáskérés az egyetlen esemény, amely bebizonyítja, hogy a felhasználó elért valamit, amit akart. Ezek a szakaszok egymásba ágyazódnak, ezért a legszélesebb számlálása mindig meghaladja a legszűkebbét. Az események sorrendjében semmi nem bizonyítja, hogy a felhasználó produktív volt, csak azt, hogy minden kapu sorra kinyílt.

A termékdokumentáció általában kifejezetten megnevezi az állapotokat. Az OpenVPN kezelési felület dokumentációja elválasztja a TCP-kapcsolatot, a hitelesítés eredményét és a befejezett inicializálást, és pontosan ez az a megkülönböztetés, amelyre egy jelentésnek szüksége van. A connected címkével ellátott állapot nem igazolja, hogy egy fájlmegosztás vagy adatbázis-művelet később sikerült.

Számoljon munkameneteket, identitásokat vagy kéréseket

A szám előtt döntse el az egységet. A munkamenet-számlálás azt válaszolja meg, hányszor használták a szolgáltatást, az identitás-számlálás azt, hány különböző fiók jelent meg, a kérésszámlálás pedig azt, mennyi munka történt. A szállítók ezt is másképp számolják, és a felhasználókban mért jogosultság nem hasonlítható össze a munkamenetekben mért grafikonnal. A rossz egység kiválasztása az, amiért egy kapacitástervezet a rossz mennyiségre méreteződik.

Az újracsatlakozások azok a helyek, ahol a munkamenet-számlálás csendesen felduzzad. Egy ügyfél, amely néhány percenként leesik és újracsatlakozik, egyetlen személyhez tucatnyi munkamenet-rekordot állít elő, így egy jelentés, amely a munkameneteket emberekként számolja, éppen azokban a feltételekben fogja túlbecsülni a használatot, amelyekben a megbízhatóság a legrosszabb. Írja le a szabályt: az újracsatlakozás utáni új munkamenet külön számít, vagy egy meghatározott ablakon belül folytatja az előzőt.

A címek a legyengébb elérhető identitás. Egy alagútcím néhány perccel később egy másik felhasználóhoz kerülhet, és két felhasználó megoszthat egy címet fordítás révén. A hitelesítési eseményből származó fiókazonosítót csatolja hozzá, ahelyett hogy egy naplóban szereplő címből következtetne személyre.

Próbálja ki a meghatározást egyetlen valódi napon

Vegyen egyetlen nap naplóit, és számolja meg ugyanazt a forgalmat három módon. Ha a három szám közel van egymáshoz, a meghatározás talán nem sokat számít az Ön céljából; ha nagy tényezővel térnek el, a jelentésnek meg kell mondania, melyiket használja.

journalctl -u openvpn-server@server --since "2026-10-01" --until "2026-10-02" | grep -c "Initialization Sequence Completed"
journalctl -u openvpn-server@server --since "2026-10-01" --until "2026-10-02" | grep -c "Peer Connection Initiated"
awk '/VERIFY OK/ {print $NF}' /var/log/openvpn-server.log | sort -u | wc -l

Futtassa ugyanazt a kinyerést egy ismert kiesésű napon, és a teljes helyett a formát hasonlítsa össze. Egy napon, amikor a felső kapcsolat remegett, a kapcsolódási eseményekben csúcsnak és a különböző fiókok mérsékelt növekedésének kellene megjelennie, és ha nem így van, a számláló valószínűleg mást mér, mint amit a jelentés állít.

Tartsa a lekérdezést magát az eredmény mellett. Bárki meg tud ismételni egy dokumentált szűrőt, és egy szám a szűrője nélkül nem auditálható.

Jelentse, mit bizonyít az esemény

Egy sikertelen kísérlet saját kategóriát érdemel ahelyett, hogy bármelyik oldalba belegyűrődne. A kudarcok közé tartoznak az elgépelt jelszavak, az elavult profillal rendelkező ügyfelek és a szándékos fürkészés, és mindháromnak más a válasza. Egy kudarc nem bizonyítéka egy sikeres behatolásnak, és nem bizonyítéka az ártalmatlanságnak sem.

Írja le a következtetést azzal az erővel, amelyet az esemény alátámaszt: ez a fiók ebben a szolgáltatásban ebben az ablakban, ebből a forrásból hitelesítette magát, és a munkamenet elérte az inicializálást. Minden arról, mit tett a felhasználó utána, az alkalmazás oldali rekordot igényel, nem több alagútadatot.

Amikor a jelentés olyan valakihez kerül, aki licencelési, kapacitási vagy biztonsági döntést hoz, a meghatározást az első sorba tegye, ne lábjegyzetbe. A meghatározás a megállapítás, és a szám csak benne értelmezhető.