在典型的VPN数据流中，IPv4地址主要存在于两个层面：客户端与服务器交互时使用的原始公网或内网源/目的地址，以及加密隧道内层数据包中承载的主机私有IP地址。记录方法取决于观测点的位置。若在公网边界捕获，只能看到VPN服务器的地址；若深入隧道内部，则需解密后检查内层IP头。准确区分这两个层级，科学上网是理解日志中地址含义的关键。
隧道外层的IP地址记录
在公网路由器或防火墙的接口上，科学上网只能观察到IPsec或OpenVPN等协议建立连接时的源和目的IP地址。对于IPsec隧道，这些地址通常属于网关设备；对于UDP封装的OpenVPN，则是客户端的出口IP和VPN服务器的公网IP。此时，数据包的有效载荷是加密的，无法直接看到内层用户的真实IP。因此，外层日志记录的是连接端点的网络身份，而非终端用户身份。
隧道内层的IP地址记录
要获取内层IPv4地址，必须在VPN服务端解密数据包后进行检查。此时，日志系统会解析内层IP头，科学上网记录分配给客户端的虚拟局域网IP（如10.8.0.2）以及该客户端访问的目标IP。这个内层IP通常是私网地址，用于在虚拟网络中路由流量。服务端的应用层日志（如SSH、Web服务器日志）记录的客户端源地址，往往就是这个内层IP，而非客户端的公网IP。
日志记录的配置与查看
具体记录哪些地址字段，取决于VPN软件和服务器的日志配置。例如，OpenVPN服务端配置中的client-to-net选项若未启用，则可能仅记录连接事件而不详细记录内层流量。IPsec则依赖syslog或专用日志记录器，记录SA建立时的对端IP。管理员应在日志文件中搜索关键字如IPv4、local、remote，或在内核网络日志中查看解密后的数据包信息。建议查阅所用VPN协议的官方文档，确认日志级别和字段定义，以避免误判。
直观理解VPN双层地址结构：外层加密通道保障传输安全，内层解析记录真实身份。
避免常见混淆点
一个常见误区是将“看到的IP”等同于“用户的真实IP”。在多层网络架构中，芒果NAT设备可能修改外层IP，而VPN隧道则进一步隐藏内层IP。记录内层IP需服务端配合，客户端本地日志通常只能看到自己分配的虚拟IP和出口网关IP。因此，审计用户行为时，应聚焦于服务端解密后的日志，而非单纯依赖边界流量捕获。
