在VPN环境中记录IPv4地址信息，核心在于区分“本地出口IP”与“隧道内地址”。前者是数据包离开公司或家庭网络网关时被分配的真实公网IP，后者是虚拟网卡生成的私有或全局单播地址，火种仅用于内部路由。混淆二者会导致日志缺失或审计偏差。下文以企业级OpenVPN UDP协议为例，说明如何在客户端和服务器端准确捕获这两类地址。
区分隧道地址与公网出口地址
VPN连接建立后，操作系统会创建一个虚拟网络接口（如TAP或tun0），其分配的IPv4地址属于隧道内部。例如，OpenVPN服务器通过配置 server 10.8.0.0 255.255.255.0 子网，向客户端分发 10.8.0.10。该地址仅存在于VPN网络中，无法直接用于互联网访问定位。而客户端原本在物理网络中获得的IPv4地址（如 192.168.1.5）及其出口网关的公网IP，才是真实的外部身份标识。记录时需分别标记这两组数据，避免将内部路由地址误认为用户真实位置。
在VPN服务器端记录对端信息
对于集中式VPN部署，服务器是记录客户端信息的关键节点。以OpenVPN为例，服务器端日志默认会记录客户端连接的源IP地址和端口。通过配置文件中的 verb 参数调整日志级别至11，或在服务器主机上启用 status 文件更新功能，可实时输出连接状态。该文件包含客户端名称、分配的隧道IP、源IP地址、会话开始时间等字段。例如，CLIENT_LIST 段中的 remote_ip 即客户端公网出口IP，local_ip 为分配的隧道地址。这些数据可直接导入数据库进行存档，无需额外部署抓包工具。
若使用IKEv2/IPsec协议，服务器端（如Libreswan或strongSwan）的日志中会包含对端IPSec对端标识符。需注意，部分实现默认隐藏源IP，需在策略配置中明确启用 log_ip 或类似选项。建议查阅所用软件版本的官方配置文档，确认日志保留周期和字段命名，确保记录格式符合审计要求。
在服务器端捕获日志时，需明确区分物理出口IP与虚拟隧道内的私有地址分配。
在客户端侧验证地址分配
客户端管理员可通过只读命令验证实际获得的地址。在Windows系统中，运行 ipconfig /all 查看虚拟适配器（如OpenVPN Client Adapter）的IPv4地址、子网掩码和默认网关。Linux或macOS下使用 ifconfig 或 ip addr show 命令，观察 tun0 或 utun0 接口的地址。同时，通过访问公开的IPv4查询服务（如ipinfo.io）对比返回的IP与本地网关出口IP是否一致，可验证连接是否真正经由VPN出口。此方法无需修改任何配置，且不影响其他网络连接。
日志持久化与字段标准化
为确保记录的可追溯性，应将原始日志按时间戳、客户端ID、隧道IP、源IP、会话时长等字段结构化为JSON或CSV格式。对于OpenVPN，可使用 client-config 钩子脚本在客户端连接时动态写入变量；对于IKEv2，建议利用RAID或日志聚合工具定期收集 /var/log/charon.log 或等效文件。注意，仅记录IP地址不足以定位用户，需结合认证凭据（如用户名）或设备指纹。若法规要求记录地理位置，IP地理定位存在误差，不应作为唯一依据。
