VPN 接入日志能还原什么
VPN 日志把远程接入行为串成一条链：谁（账号）、从哪（客户端公网地址）、什么时候、被分配到哪个内网地址、在线多久。在溯源中它有两个关键作用：一是判断“非工作时段、异地来源、短时串接”这类异常接入，二是把分配到的内网地址回填到主机日志，接续后续行为链。不同实现日志形态不同：OpenVPN 写日志与状态文件，IPsec/IKE 在设备侧记录阶段协商与断开，SSL VPN 设备通常在管理界面提供会话与账号记录。
基本信息
| 适用平台 | OpenVPN、IPsec/IKEv2、企业 SSL VPN 设备（防火墙或专用网关） |
|---|---|
| OpenVPN 位置 | /var/log/openvpn.log 与 status 文件（openvpn-status.log） |
| 关键字段 | username、客户端公网 IP、分配的内网 IP、连接与断开时间、字节数 |
| 其他实现 | IPsec 看设备日志中的阶段协商与断连记录；SSL VPN 看账号会话清单 |
| 判读重点 | 来源地址异常、时段异常、在线时长异常、同一账号并发或串接 |
典型使用场景
- 确认某个账号是否在异常时段或异地来源接入，判断凭据是否已被他人使用
- 把接入分配的内网地址映射到具体主机，接续检查其后续行为
- 识别短时串接：快速连接又断开的会话常是自动化探测或凭据验证
- 评估数据外带体量：状态文件中的收发字节数可作参考
- 核对账号权限与实际使用是否匹配，发现共享账号或离职账号仍在使用
检索与聚合
检索与聚合
# 连接建立记录
grep 'Peer Connection Initiated' openvpn.log | tail -20
# 状态文件：当前在线会话与分配地址
grep -E 'user1|user2' openvpn-status.log
# 按账号统计接入时段与来源（示例，字段按实际日志格式调整）
grep -E 'Peer Connection Initiated|MULTI_sva:|MULTI_shutdown' openvpn.log | tail -50
# 断开记录与在线时长
grep -Ei 'Connection reset|SIGTERM|TLS: soft reset' openvpn.log | tail -20会话要素读法
| 要素 | 含义 | 判读要点 |
|---|---|---|
| 账号 | 发起接入的用户 | 共享账号需结合设备指纹与时段区分使用者 |
| 客户端公网 IP | 接入来源地址 | 与常驻地不符时核对出差与代理记录 |
| 分配内网 IP | 该会话使用的内网地址 | 回填到主机日志即可接续行为链 |
| 起止时间 | 在线时段 | 非工作时段与超长会话需核实 |
| 收发字节 | 会话数据量 | 作为外带体量的参考，注意与业务基线比较 |
把 VPN 分配的内网 IP 回填到主机与防火墙日志，是打通“远程接入—内网行为”的关键一步；缺了这一步会止步于“有人接入过”。
多出口与移动网络会让同一账号的公网地址频繁变化，按 IP 追踪容易断链，正确做法是以账号为主键聚合，再结合时段与设备特征。