Apakah yang dikira sebagai log masuk VPN berjaya dalam laporan?

Tiga laporan tentang VPN yang sama boleh bercanggah tanpa mana-mana daripadanya salah, kerana setiap satu memahami maksud log masuk berjaya secara berbeza. Satu mengira sambungan yang sampai ke pelayan, satu lagi mengira identiti yang diterima oleh langkah pengesahan, dan yang ketiga mengira sesi yang menyelesaikan permulaan. Memilih salah satu sebelum mengumpul data ialah perbezaan antara metrik dan hujah.

Soalan yang berguna bukanlah definisi mana yang betul secara umum, tetapi hasil mana yang akan diambil tindakan oleh pembaca.

Tiga peristiwa berbeza memakai label yang sama

Pelayan menerima sambungan pengangkutan sebaik sahaja jabat tangan selesai, dan itu berlaku sebelum sebarang kelayakan dikemukakan. Peristiwa itu memberitahu anda bahawa port boleh dicapai dan laluan rangkaian berfungsi, dan ia tidak memberitahu apa-apa tentang siapa yang bersambung. Pengesahan ialah langkah kemudian yang boleh gagal, dan ia juga boleh berjaya bagi identiti yang tidak pernah dibenarkan masuk ke rangkaian.

Permulaan datang selepas pengesahan, dan terowong yang selesai dimulakan boleh terbiar sepanjang hari. Permintaan aplikasi ialah satu-satunya peristiwa yang menunjukkan pengguna mencapai sesuatu yang diingininya. Peringkat ini bersarang, jadi kiraan yang paling luas akan sentiasa melebihi kiraan yang paling sempit. Tiada apa dalam urutan peristiwa yang membuktikan pengguna itu produktif, hanya bahawa setiap pintu dibuka mengikut giliran.

Dokumentasi produk biasanya menamakan keadaan secara jelas. nota antara muka pengurusan OpenVPN memisahkan sambungan TCP, hasil pengesahan dan permulaan yang selesai, dan itulah tepatnya perbezaan yang diperlukan oleh sesuatu laporan. Keadaan berlabel connected tidak memperakui bahawa perkongsian fail atau operasi pangkalan data berjaya kemudiannya.

Kira sesi, identiti atau permintaan

Tentukan unit sebelum menentukan nombor. Kiraan sesi menjawab berapa kali perkhidmatan digunakan, kiraan identiti menjawab berapa banyak akaun berbeza muncul, dan kiraan permintaan menjawab berapa banyak kerja dilakukan. Pembekal juga mengiranya secara berbeza, dan hak yang diukur dalam pengguna tidak boleh dibandingkan dengan graf yang diukur dalam sesi. Memilih unit yang salah ialah cara pelan kapasiti berakhir dengan saiz yang salah.

Sambung semula ialah tempat kiraan sesi mengembung secara senyap. Klien yang terputus setiap beberapa minit dan bersambung semula menghasilkan berpuluh-puluh rekod sesi untuk satu orang, jadi laporan yang mengira sesi sebagai orang akan melebih-lebihkan penggunaan tepat pada keadaan apabila kebolehpercayaan paling teruk. Tulis peraturannya: sesi baharu selepas sambung semula dikira berasingan, atau ia menyambung sesi sebelumnya dalam tetingkap yang ditetapkan.

Alamat ialah identiti paling lemah yang tersedia. Alamat terowong boleh diberikan kepada pengguna lain beberapa minit kemudian, dan dua pengguna boleh berkongsi satu alamat melalui penterjemahan. Lampirkan pengecam akaun daripada peristiwa pengesahan dan bukannya membuat kesimpulan tentang seseorang daripada alamat dalam log.

Uji definisi itu pada satu hari sebenar

Ambil satu hari log dan kira trafik yang sama dengan tiga cara. Jika ketiga-tiga nombor hampir sama, definisi itu mungkin tidak begitu penting untuk tujuan anda; jika ia berbeza dengan faktor besar, laporan mesti menyatakan yang mana satu digunakannya.

journalctl -u openvpn-server@server --since "2026-10-01" --until "2026-10-02" | grep -c "Initialization Sequence Completed"
journalctl -u openvpn-server@server --since "2026-10-01" --until "2026-10-02" | grep -c "Peer Connection Initiated"
awk '/VERIFY OK/ {print $NF}' /var/log/openvpn-server.log | sort -u | wc -l

Jalankan pengekstrakan yang sama pada hari dengan gangguan yang diketahui dan bandingkan bentuknya dan bukannya jumlahnya. Hari apabila pautan atas bergetar sepatutnya menunjukkan lonjakan dalam peristiwa sambungan dengan kenaikan sederhana dalam akaun berbeza, dan jika tidak, pengira itu mungkin mengukur sesuatu yang lain daripada apa yang didakwa oleh laporan.

Simpan pertanyaan itu sendiri di sebelah hasilnya. Sesiapa sahaja boleh menghasilkan semula penapis yang didokumenkan, dan nombor tanpa penapisnya tidak boleh diaudit.

Laporkan apa yang dibuktikan oleh peristiwa itu

Percubaan yang gagal layak mendapat kategori sendiri dan bukannya dilipat ke mana-mana pihak. Kegagalan termasuk kata laluan yang tersalah taip, klien dengan profil yang lapuk dan siasatan yang disengajakan, dan ketiga-tiganya mempunyai tindak balas yang berbeza. Kegagalan bukan bukti pencerobohan yang berjaya, dan ia juga bukan bukti ketidakberbahayaan.

Tulis kesimpulan dengan kekuatan yang disokong oleh peristiwa itu: akaun ini disahkan pada perkhidmatan ini dalam tetingkap ini, dari sumber ini, dan sesi itu mencapai permulaan. Apa-apa tentang apa yang pengguna lakukan selepas itu memerlukan rekod di pihak aplikasi dan bukan lebih banyak data terowong.

Apabila laporan itu pergi kepada seseorang yang akan membuat keputusan pelesenan, kapasiti atau keselamatan, letakkan definisi itu pada baris pertama dan bukan dalam nota kaki. Definisi itulah penemuan, dan nombor itu hanya bermakna di dalamnya.