Điều gì được tính là đăng nhập VPN thành công trong một báo cáo?

Ba báo cáo về cùng một VPN có thể không đồng ý với nhau mà không báo cáo nào sai, vì mỗi báo cáo hiểu đăng nhập thành công theo một cách khác. Một báo cáo đếm các kết nối đã tới máy chủ, một báo cáo khác đếm các danh tính mà bước xác thực chấp nhận, và báo cáo thứ ba đếm các phiên đã hoàn tất khởi tạo. Chọn một trong số đó trước khi thu thập dữ liệu chính là khác biệt giữa một chỉ số và một lập luận.

Câu hỏi hữu ích không phải là định nghĩa nào đúng nói chung, mà là người đọc sẽ hành động dựa trên kết quả nào.

Ba sự kiện khác nhau mang cùng một nhãn

Máy chủ chấp nhận một kết nối truyền tải ngay khi bắt tay hoàn tất, và điều đó xảy ra trước khi bất kỳ thông tin xác thực nào được trình ra. Sự kiện đó cho bạn biết cổng có thể tới được và đường mạng hoạt động, và nó không nói gì về việc ai đã kết nối. Xác thực là bước sau đó và có thể thất bại, và nó cũng có thể thành công với một danh tính không bao giờ được phép vào mạng.

Khởi tạo đến sau xác thực, và một đường hầm đã khởi tạo xong có thể ngồi không suốt phần còn lại của ngày. Yêu cầu của ứng dụng là sự kiện duy nhất chứng minh rằng người dùng đã tới được thứ họ muốn. Các giai đoạn này lồng vào nhau, nên số đếm của cái rộng nhất sẽ luôn vượt số đếm của cái hẹp nhất. Không có gì trong chuỗi sự kiện chứng minh người dùng đã làm việc hiệu quả, chỉ cho thấy mỗi cổng lần lượt mở ra.

Tài liệu sản phẩm thường gọi tên các trạng thái một cách rõ ràng. ghi chú giao diện quản trị của OpenVPN tách kết nối TCP, kết quả xác thực và khởi tạo đã hoàn tất, và đó chính là sự phân biệt mà một báo cáo cần. Trạng thái được gắn nhãn connected không chứng nhận rằng việc chia sẻ tệp hay thao tác cơ sở dữ liệu sau đó đã thành công.

Đếm phiên, danh tính hoặc yêu cầu

Quyết định đơn vị trước khi quyết định con số. Số phiên trả lời dịch vụ đã được dùng bao nhiêu lần, số danh tính trả lời có bao nhiêu tài khoản khác nhau xuất hiện, và số yêu cầu trả lời bao nhiêu công việc đã được làm. Nhà cung cấp cũng đếm những thứ này theo cách khác, và một quyền được đo bằng người dùng không thể so với một biểu đồ được đo bằng phiên. Chọn sai đơn vị là cách một kế hoạch dung lượng bị định cỡ cho sai lượng.

Kết nối lại là nơi số phiên âm thầm phình ra. Một máy khách rớt mạng vài phút một lần rồi kết nối lại tạo ra hàng chục bản ghi phiên cho một người, nên một báo cáo đếm phiên như đếm người sẽ phóng đại mức sử dụng đúng vào những điều kiện mà độ tin cậy tệ nhất. Hãy viết ra quy tắc: một phiên mới sau khi kết nối lại được đếm riêng, hoặc nó tiếp nối phiên trước trong một khoảng thời gian xác định.

Địa chỉ là danh tính yếu nhất hiện có. Một địa chỉ đường hầm có thể được gán cho người dùng khác vài phút sau, và hai người dùng có thể dùng chung một địa chỉ qua dịch địa chỉ. Hãy gắn mã định danh tài khoản từ sự kiện xác thực thay vì suy ra một người từ địa chỉ trong nhật ký.

Thử định nghĩa trên một ngày thật

Lấy nhật ký của một ngày và đếm cùng lượng lưu lượng theo ba cách. Nếu ba con số gần nhau, định nghĩa có thể không quan trọng lắm cho mục đích của bạn; nếu chúng khác nhau một hệ số lớn, báo cáo phải nói nó dùng cách nào.

journalctl -u openvpn-server@server --since "2026-10-01" --until "2026-10-02" | grep -c "Initialization Sequence Completed"
journalctl -u openvpn-server@server --since "2026-10-01" --until "2026-10-02" | grep -c "Peer Connection Initiated"
awk '/VERIFY OK/ {print $NF}' /var/log/openvpn-server.log | sort -u | wc -l

Chạy cùng phép trích xuất vào một ngày có sự cố đã biết và so hình dạng thay vì tổng số. Một ngày mà đường truyền lên chập chờn nên cho thấy một đỉnh trong các sự kiện kết nối cùng mức tăng vừa phải ở số tài khoản khác nhau, và nếu không như vậy thì bộ đếm có lẽ đang đo thứ khác với điều báo cáo khẳng định.

Giữ chính câu truy vấn bên cạnh kết quả. Bất kỳ ai cũng có thể tái tạo một bộ lọc đã ghi lại, và một con số không có bộ lọc của nó thì không thể kiểm toán.

Báo cáo điều mà sự kiện chứng minh

Một lần thử thất bại xứng đáng có hạng mục riêng thay vì bị gấp vào bên nào. Thất bại gồm mật khẩu gõ sai, máy khách có hồ sơ cũ và việc dò tìm có chủ đích, và cả ba có phản ứng khác nhau. Thất bại không phải bằng chứng của một vụ xâm nhập thành công, và cũng không phải bằng chứng của sự vô hại.

Viết kết luận với sức mạnh mà sự kiện ủng hộ: tài khoản này đã xác thực với dịch vụ này trong khoảng này, từ nguồn này, và phiên đã tới khởi tạo. Bất cứ điều gì về những gì người dùng làm sau đó cần một bản ghi phía ứng dụng chứ không phải thêm dữ liệu đường hầm.

Khi báo cáo tới tay người sẽ ra quyết định về cấp phép, dung lượng hay bảo mật, hãy đặt định nghĩa ở dòng đầu tiên chứ không phải ở chú thích cuối trang. Định nghĩa chính là phát hiện, và con số chỉ có ý nghĩa bên trong nó.