是否有RDP连接的日志文件？

如果你以管理员身份查看事件查看器，有服务器日志，但据我所知没有登录/登出的日志。

请检查左侧的事件查看器树，在 “应用程序和服务日志-> Windows-> TerminalServices-"下，其中是所有的日志。我想你最感兴趣的是终端服务-本地会话管理器操作日志。事件ID 21将提供传入连接的IP地址。

在左侧的事件查看器树中，在 "应用程序和服务日志 -> Windows "下还有一个 "RemoteDesktopServices-RemoteDesktopSessionManager "节点。我相信只有管理员角色才可以查看该文件。请确认并告诉我这是否能解决你的用例。

也许可以试试这个登录/注销日志 http://www.microsoft.com/resources/documentation/windows/xp/all/proddocs/en-us/aptopnode.mspx?mfr=true 。

在'应用程序和服务日志'下查找 > ‘Microsoft’ > ‘Windows’ > ‘TerminalServices-ClientActiveXCore’ > ‘Microsoft-Windows-TerminalServices-RDPClient/Operation’ ,

该日志将包含终端用户试图连接RDP的服务器名称的事件。

我不能告诉你如何从你的工作机器上检查你建立VPN时的情况，因为它可能不是VPN服务器（？）。然而，如果你使用远程桌面连接来控制那台工作电脑，你也许可以从事件查看器中提取登录/注销时间。

在安全日志中查找这些。RDP登录是Event ID 4624，但仅仅搜索4624是不行的。在事件中，你需要登录类型值是 “10"，安全ID值是你的。不知道如何过滤这些…

在你的情况下，你需要查看电脑上的TerminalServices-LocalSessionManager和TerminalServices-RemoteConnectionManager日志。

你也可以检查一个优秀的第三方工具，叫做【SysKit，原终端服务日志】(https://www.syskit.com/)。它可以从日志中生成各种报告，如果你想了解RDP连接和其他东西的所有细节，它将为你节省大量的时间。

请注意：我隶属于上述工具的制造商Acceleratio，所以我在这里可能会有一点偏见。

我在Windows日志/安全下的事件查看器中找到了信息，你会在任务类别下看到登录和注销事件。

使用quser命令来显示会话。

然后你会看到类似ID 1或2或4的东西。然后输入 Logoff 4 来注销这个会话。

你也可以输入query session或qwinsta(两者都是一样的)来显示谁在使用，哪个端口在监听等等。