区分会话标识与连接对象
读者常混淆VPN会话与网络隧道。隧道是底层传输通道，可能复用；会话是应用层逻辑关系，包含身份认证状态、序列号和安全参数。例如，在IPsec中，飞鱼一个IKE SA（安全关联）可能承载多个ESP SA。管理原则要求系统能独立识别每个会话，而非仅依赖底层IP地址。
稳定可靠的会话管理，确保网络连接的连续性与安全性。
当客户端重连或发生网络切换时，底层隧道可能变化，但会话ID应保持连续，以便服务器端维持用户上下文。若系统将两者混同，会导致登录状态丢失或权限错乱。
状态同步与心跳检测
会话管理依赖定期心跳（Keepalive）确认存活。若长时间无数据流，网关应标记会话为“疑似断开”，飞鱼而非立即终止，以避免网络抖动导致误杀。心跳包通常封装在控制协议内，占用带宽极低。
在集群环境下，多个网关节点需同步会话表。若使用无状态故障转移，会话状态必须实时复制；若使用有状态故障转移，需确保会话ID和加密密钥一致，否则新节点无法解密流量，导致连接中断。
超时策略与资源回收
每个会话占据内存资源，包括连接状态、加密上下文和访问控制列表。系统需设定空闲超时阈值，超过时间自动清理会话记录，防止僵尸会话耗尽内存。超时时长应根据业务特性设定，而非固定值；例如，金融交易会话需短超时，而视频流会话可容忍较长空闲。
资源回收过程需原子化，避免在删除会话时仍有数据包到达，引发安全警告或错误日志。配置时应明确区分“空闲超时”与“最大会话时长”，飞鱼加速器后者用于强制会话结束以重新认证，提升安全性。
日志与审计边界
会话管理仅记录关键事件：建立、中断、超时和异常终止。不应记录每个数据包的明文内容，既因性能瓶颈，也涉及隐私合规。日志字段应包含会话ID、源IP、用户ID、开始/结束时间及带宽统计。
审计时应验证会话完整性，例如检查是否存在未正常关闭的会话，这可能暗示被强制断开或存在网络异常。通过比对网关日志与客户端记录，飞鱼可定位是网络层故障还是应用层问题。
