小型办公室运行 VPN 的真实成本

小型办公室买一台网关，接上线，就认为 VPN 已完成。设备价格只是全部投入中最小的一部分。真正每天运转的是一条链条：登记一个身份、出示一份凭据、协商一条隧道、 由一项策略决定隧道能到达哪里，并有某个东西记录发生了什么。这条链上的每一环都有负责人和反复出现的义务，只有把五环中的一环算进成本，采购决定才显得便宜。

VPN 会话到底由什么组成

在任何东西被加密之前，必须有人准备凭据并把它送到设备上。连接时，客户端与网关协商密钥，网关分配地址，路由或拆分隧道策略决定会话能到达哪些目的地。随后日志记录本次会话，而吊销必须能够提前结束它。

这些步骤各以各自的方式失败，每一步都需要能修复它的人。即使网关完美地协商隧道，证书过期或离职员工仍保留可用配置文件时，仍会产生支持工单。机制告诉你工作在哪里，而工作才是你真正购买的东西。

无论隧道终止在设备、自托管虚拟机还是提供商端点上，同一条链都存在。变化的是每一环归谁所有，以及你用法本、工时还是计量账单来支付。

经常性成本从哪里来

基础设施是可见的部分：受支持的软件与更新路径、电力、办公室接入线路，以及设计所需的任何公网端点安排。自托管虚拟机增加的是托管和周边网络服务，而不只是一份软件许可。

计量服务把同一项服务拆成多个计费单位。 AWS Client VPN 概览 将端点关联小时与连接小时描述为独立单位，数据传输和依赖服务另行计费。这一结构正是应当对预期用量建模、而不是照抄费率的原因，它也没有说明任何其他提供商如何收费。

建立估算时使用当前区域价格和你自己的数字。把一次性设置与经常性费用分开，并标出预算中已在别处存在的成本，而不是把它们当成新成本。

为什么客户端软件是单独一项

每个受支持的客户端平台都是一个支持面。强制更换客户端、或要求继续维持过时操作系统的网关，可能在一个更新周期内吃掉硬件节省。配置文件分发、证书安装和第二因素登记都要占用某人的时间，而这个时间会随着每次新员工入职重复。在认定客户端这件事免费之前，先乘以你的年度人员流动率。

数一数许可证实际使用的计量单位。视产品而定，可能是命名用户、设备、并发会话或某项已启用的功能，这些并不互通。数据表上那句旧的“支持五十个用户”不会变成你开启的每个认证模块的现行权利。

也要写下真正重要的设备和工时。五个偶尔出现的管理员加上一批轮换的承包商，可能产生相同的峰值连接数，却带来完全不同的支持负担。

维护是一种机制，不是杂事

证书会过期，凭据会轮换，软件需要受支持的更新，配置需要至少恢复过一次的备份。这些都不是可选项，而且全都落在日历上，而不是采购单上。机制并不光鲜：续期提醒、恢复演练、更新窗口。跳过其中任何一项，故障就会在一个工作日里到来，还有用户在等。

移除也属于同一张清单。如果最初的设计跳过了个人身份，那么让一个人离职就变成在每台剩余笔记本上更换共享凭据，这比当初省掉的入职工作大得多。

二手设备要接受与新硬件相同的审视：受支持的软件、可获得的更新、产品要求时可转让的授权，以及你真正测试过的恢复流程。低价拍卖并不能确立这些事实中的任何一项。

在承诺之前先对故障建模

问一问网关更新、办公室线路中断或管理员凭据丢失时会发生什么。如果每条恢复路径都要经过刚刚失效的那条 VPN，那么无论花了多少钱，这个设计还不够可靠。在批准之前，增加一条经批准的独立管理路径。这条路径同样是经常性成本，而且它是第一次故障之前没人编预算的那一项。

只有当冗余消除你在意的故障域时，它才值得付费。同一台物理主机上的两台虚拟网关仍然是一次故障，同一条线路上的两条隧道仍然是一条线路。

在每一行旁边写上名字，在还没做的那些行旁边写上工时估算。然后选择满足访问要求的最小受支持方案，并把估算放在下一个人能找到的地方。