检查VPN账号使用记录的核心在于区分“身份认证日志”与“会话连接日志”。前者记录谁在何时何地尝试登录成功或失败，后者记录具体的IP地址、端口、会话时长及流量大小。两者存储位置不同：前者通常位于身份认证服务器端，后者位于VPN接入设备端。选择查看哪类记录，取决于你当前是排查账号泄露问题，还是分析网络流量异常。
身份认证日志：排查账号安全
若怀疑账号密码泄露或存在非法登录，应优先检查身份认证日志。对于基于Radius协议的VPN系统，登录请求会先到达Radius服务器。管理员需登录Radius管理控制台，坚果查询“认证事件”日志。观察对象包括账号名称、客户端IP地址、认证结果（成功/失败）及时间戳。若发现大量来自陌生IP的失败认证记录，可判定为暴力破解尝试；若某IP认证成功但业务异常，需结合后续会话日志进一步确认。
区分身份认证与会话日志，精准定位异常连接源头。
会话连接日志：分析流量与并发
若需分析特定账号的在线时长、带宽占用或并发连接数，应查看VPN设备的会话日志。以常见的Cisco ASA或FortiGate为例，管理员需在设备命令行或GUI中启用“会话日志记录”。观察对象为已建立的VPN会话表项，包含源IP、目标IP、会话ID、开始/结束时间及吞吐率。这类日志能直观反映用户是否在非工作时间保持长连接，或是否存在通过同一账号多终端同时上线的情况，是审计资源滥用的关键依据。
本地客户端记录：终端行为追溯
部分企业部署的SSL VPN客户端（如OpenVPN、AnyConnect）会在用户终端本地保存连接历史。若设备处于企业管控状态，管理员可通过终端管理软件远程提取这些日志。记录内容通常包括连接的目标服务器、使用的证书指纹及断开原因。由于终端日志易被用户手动清除，其法律效力较弱，坚果加速器主要作为初步线索。若需确凿证据，必须比对服务器端日志与终端日志的时间一致性，排除用户篡改可能。
