很多企业在搭建远程接入VPN体系的时候，都会配套配置全量日志留存策略，希望通过记录所有VPN接入行为、流量特征来覆盖远程接入场景的所有安全风险，但实际运维过程中会发现，不少常见的网络安全问题完全不在VPN日志策略的覆盖范围内，就算你把日志采集维度拉满、留存周期延长，也没法靠这些日志完成溯源、定位和风险拦截的目标。
终端侧的内网横向渗透行为无法被VPN日志追溯
常规VPN网关的日志采集范围，普遍限定在接入认证过程、隧道建立记录、黑洞跨网段访问的五元组信息、隧道上下行总流量统计这几个维度，根本不会采集终端接入内网之后发起的二层局域网流量。
如果合法VPN账号的接入终端本身已经被植入恶意程序，攻击者拿到权限之后直接在内网段发起端口扫描、漏洞利用的横向移动行为，这部分交互流量全程在内网交换机层面转发，根本不会回传到VPN网关做二次处理，自然不会生成对应的VPN日志记录。
很多管理员的常见误区是只要留存完整的VPN日志，就能在入侵事件发生之后第一时间定位入侵入口，实际遇到这类内网横向渗透的场景，翻遍VPN日志也只能看到对应用户的正常接入记录，找不到任何和扫描、攻击相关的特征，甚至会误导管理员把排查方向错放在VPN接入环节。
常规VPN网关的日志采集范围无法覆盖终端接入内网后发起的二层横向渗透流量。
验证这个场景的操作门槛很低，用授权的VPN账号正常接入内网之后，使用端口扫描工具对同内网段的其他设备做全端口探测，之后登录VPN网关的日志后台检索对应接入会话的所有关联记录，就会发现只有访问跨网段核心业务系统的请求被记录，同网段的扫描报文完全没有出现在日志列表里。
加密隧道内的应用层攻击载荷无法被VPN日志识别
VPN日志的解析逻辑工作在隧道封装层面，就算开启了深度流量日志采集选项，也只能识别隧道封装外层的报文特征，没法直接解密隧道内的加密应用层流量，自然也就没法解析出里面的具体请求内容。
比如远程办公的合法用户通过VPN接入内网业务系统时，不小心点击了伪造的业务入口链接，在隧道内发起针对业务后台的SQL注入、漏洞扫描请求，VPN日志里只会记录到用户访问了对应业务系统的服务器地址，完全识别不到请求载荷里的攻击特征。
不少企业为了节省安全设备采购成本，打算用VPN日志策略替代内网Web应用防火墙的攻击审计能力，实际上真的出现业务系统被拖库的安全事件时，VPN日志里找不到任何和攻击行为相关的细节记录，根本没法确认攻击发起的精确时间点，也没法判断攻击者到底获取了哪些数据。
共享VPN账号的越权操作无法通过日志精准归因
不少研发、测试类的团队为了方便多人协同访问测试环境，会配置共用的VPN接入账号，多个员工使用同一套账号凭证接入VPN，这种场景下所有接入行为在VPN日志里都会关联到同一个账号主体，根本没法区分实际操作人。
就算管理员开启了VPN日志的终端特征采集功能，记录接入设备的硬件地址、系统指纹信息，如果多个员工共用同一台办公设备接入VPN，日志里的终端特征也会完全重合，后续出现测试环境配置被篡改、测试数据被删除的问题时，根本没法通过VPN日志定位到具体的操作人。
很多人误以为给VPN账号绑定固定源IP白名单就能解决这个问题，但是远程办公场景下用户的家庭宽带IP大多是动态分配的，黑洞VPN外出办公时使用手机热点的IP更是随时变动，固定IP绑定规则很难落地，反而会生成大量无效的接入失败日志，干扰正常的安全审计流程。
旁路数据外传行为完全脱离VPN日志管控范围
很多远程接入终端会同时安装VPN客户端和各类云同步盘、即时通讯软件，就算管理员配置了强制隧道规则，要求所有内网访问流量都必须走VPN加密隧道，用户也可以把从内网业务系统里下载到本地的明文数据，直接通过终端本地的公网网卡走第三方应用外传。
这类外传流量全程不经过VPN隧道转发，自然也不会被VPN日志系统采集记录，就算VPN日志里显示用户只是正常下载了一份业务数据，后续这份数据被泄露到外部公网，VPN日志里也找不到任何和外传行为相关的记录，完全没法追溯数据泄露的完整路径。
企业在落地VPN日志策略的时候，必须先明确它的能力边界，不要指望单靠一套VPN日志体系覆盖所有远程接入场景的安全需求，只有搭配终端EDR检测系统、内网流量审计设备、数据防泄漏平台做分层防护，黑洞VPN才能补上VPN日志策略覆盖不到的安全盲区，搭建更完整的远程接入安全体系。
