堡垒机怎么选：三个数字定档，别为用不上的并发买单

同样是「堡垒机」，报价能差 10 倍。厂商销售讲的是功能列表，而决定价格的其实只有三个数字：纳管资产数、字符并发、图形并发。把这三个数算准，选型就完成了 70%。

一、先算清楚要管多少台设备

堡垒机是按「纳管资产数」授权的——服务器、网络设备、数据库实例、云主机都算一台。采购时最容易踩的坑是只按当前服务器数量报，忽略了三年内要上线的系统、灾备机房和云上资源。

经验算法：当前在网设备数 × 1.5 + 灾备/云上设备数，再向上取到厂商的授权档位（常见 50 / 100 / 200 / 500 / 不限）。授权档位之间的价差远大于一次性买大一点的价差，扩容单价通常是初次采购的 1.5～2 倍。

二、字符并发与图形并发：真正的价格分水岭

字符并发指同时进行的 SSH/Telnet/串口会话数，图形并发指 RDP/VNC/X11 会话数。图形会话要编码、要录屏、要占内存，一台图形并发消耗的资源大约是字符并发的 5～8 倍，所以厂商对图形并发的定价也贵得多。

并发档位参考公开采购项目的实际配置区间，具体以厂商型号表为准。

算并发的正确姿势是看峰值同时在线运维人数 × 每人会话数，而不是运维总人数。一个 DBA 排障时可能同时开 5～8 个数据库会话，这类角色的权重必须单独算。

三、协议覆盖：能不能真「管住」取决于这一项

很多项目验收时才发现，堡垒机只能管 SSH 和 RDP，而实际环境里还有数据库直连、KVM 带外管理、VMware 控制台、C/S 架构的业务客户端。这些走不通，运维就会绕开堡垒机直连——审计等于零。

• 字符协议：SSH、Telnet、Serial（网络设备串口），必须支持命令级识别与阻断，不是只有录屏
• 图形协议：RDP、VNC、X11，需要能识别剪切板、文件传输、磁盘映射并可按策略禁用
• 数据库协议：Oracle、SQL Server、MySQL 的原生协议代理，能审计到 SQL 语句级
• 带外与虚拟化：KVM over IP、VMware vCenter、云平台控制台（这块通常要单独的协议前置机或插件）
• 客户端兼容：SecureCRT、Xshell、MobaXterm、Navicat 等常用工具能否直接连堡垒机而不装客户端

四、等保与密评对堡垒机的硬性要求

等保 2.0 三级在「安全审计」「身份鉴别」「访问控制」三处都会考察堡垒机，实际测评中最常被开整改项的几点：

• 审计记录留存不少于 6 个月（网络安全法要求），存储容量要按 6 个月录像量倒推，别信「默认够用」
• 双因素认证：口令 + 动态令牌 / USBKey / 短信，仅口令登录必被扣分
• 运维人员与系统管理员权限分离，堡垒机自身要有三权分立（管理员 / 操作员 / 审计员）
• 录像完整性保护：录像文件不可篡改、可校验，部分测评项要求带数字签名
• 密评（商用密码应用安全性评估）场景下，登录认证与审计数据传输要支持国密算法，需确认设备内置国密卡或支持国密 USBKey

五、软件版还是一体机：30 万和 3 万差在哪

同一家厂商的软件版与信创一体机，价差可以达到 8～10 倍。差异不在功能，而在三处：是否包含信创硬件（国产 CPU + 麒麟 + 国产数据库 + 中间件全套授权）、授权是否不限设备、是否含 3 年原厂维保与驻场。

判断逻辑：已有虚拟化资源池、运维规模不大、且不强制信创硬件 → 软件版性价比最高；项目要求整机交付、要通过信创符合性审查、或设备数量多且要求不限授权 → 一体机反而更划算。

本站可对比的型号

齐 RIS-ACA 访问控制审计系统（堡垒机）齐治科技 · 安全 资产数央行项目含无限制设备管控授权；软件版按资产数授权字符并发1,200/ ≥400 指令并发/ 800图形并发200/ ≥200/ 160 参数 → 深 运维安全管理系统 OSM（堡垒机）深信服 · 安全 资产数最大可扩展 150/ 1,000字符并发200/ 350图形并发100/ 200 参数 →

两款均为政府采购公示过完整参数与成交价的型号：左边是金融行业信创一体机（央行项目 ¥292,000/台），右边是通用 1U 档（预算价 ¥65,000），价差来自授权规模与信创硬件。

延伸阅读：全部运维审计类产品见 运维审计与堡垒机品类页，按成交价横向对比见 堡垒机价格区间，密码类设备选型见 服务器密码机怎么选。