示例情况：用户通过 RDP、port 连接到服务器3389，并在服务器上工作 4 小时。她没有断开连接，从她的角度来看，连接在整个 4 小时内不间断。

我的问题：source port, user's IP, destination port [3389], destination IP [the server]此连接是否会由防火墙日志中的 1 个防火墙事件表示？还是连接会定期更新，但对用户是透明的，因此会在固件日志中观察到几个连接事件？

这是由 RDP 协议的工作方式决定的，还是取决于实现，因此这两种结果都可能是真实的，具体取决于实现？