VPN 怎么选：IPSec 与 SSL 别混比，并发许可才是预算黑洞

VPN 的报价单上一般有七八个数字，但真正决定价格与体验的只有三组：IPSec 吞吐、SSL 并发用户、国密支持。而最容易超预算的不是硬件，是并发许可。

一、先分清 IPSec 与 SSL，它们不是一类东西

很多项目在招标文件里只写「VPN 设备」，结果投标方报的是 SSL VPN，而项目实际要做的是总部-分支互联——设备买回来发现没有 IPSec 隧道能力，或者隧道数只有几百条，覆盖不了分支数量。

二、三个数字定档

数据取自天融信 TopVPN6000 系列（HG-B20 高端档来自省民政厅项目结果公告，TV-A1204 中端档与入门 1U 档来自上海政府采购云平台与 ZOL 公开参数）；三未信安 SecGW G1300 属高端档国密网关。同品牌不同型号性能差距可达百倍，比价务必对齐型号。

国密与国际算法的吞吐不是一回事。 SM4 通常比 AES 慢 30%～50%，判断标准是问清楚「这个 3.5Gbps 是国密口径还是 AES 口径」。政务、金融、军工项目最终验收一定是国密口径，按 AES 数字报的型号很可能不达标。

三、并发许可：最容易超预算的一笔

SSL VPN 的商业模式是「硬件便宜、许可贵」。一台标注 1,200 并发的设备，硬件本身可能只要 5 万，但默认只带 100 个并发许可，补齐到 1,200 要再加 3～5 万。这是同类产品报价差异最大的来源。

采购前必须写清四件事：

• 许可是否永久（有些厂商按年订阅，第三年续费比买新的还贵）
• 是否绑定设备序列号（换硬件要不要重新买许可）
• 移动端（手机、平板、小程序）是否单独计费
• 扩容单价怎么算（按 100 用户一档，还是按并发峰值一次性买断）

四、密评对 VPN 的硬要求

商用密码应用安全性评估（密评）看三件事：算法合规、密钥管理、传输加密覆盖。VPN 是远程接入环节的主力设备，几乎每个密评项目都会查。

• 持证：必须有《商用密码产品型号证书》，型号能在国家密码管理局的证书目录里查到——不是「支持国密算法」，而是产品本身持证
• 双证书：证书认证要支持国密双证书（签名证书 + 加密证书），只支持单证书的型号在政务项目里会被否
• 密钥管理：与密码机 / 密钥管理系统的对接方式要写进技术方案，密钥不能只存在 VPN 设备本地
• 全通道加密：管理口、日志回传、集群同步也要走加密，只加密业务通道不算合规

五、真实价格基准

三未信安 SecGW G1300 V2 在北京市朝阳区政务云密码资源池项目的成交价为 ¥95,245/台，含国密 IPSec 与 SSL 双协议、密码卡与密钥管理对接。同品牌的入门 1U 型号 SJJ19140 性能差 5 倍以上——这也是为什么「同品牌比价」没有意义，必须对齐型号。

天融信 TopVPN6000 HG-B20 在省民政厅项目为高端档配置：3.5Gbps IPSec、10,000 条隧道、6,000 并发许可、6 千兆电 + 4 千兆光 + 2 万兆光、2U 冗余电源。

价差主要来自三处：并发许可数量、国密硬件加密卡、是否含 USB Key。同型号裸机与全配方案能差 2 倍以上，比价时一定要把这三项拆开看。

本站可对比的型号

天 天融信VPN系统天融信 · 安全 SSL并发用户6,000/ 1,200/ 100算法支持SM1/SM2/SM3/SM4 及其协议+ 国际算法IPSec吞吐量3.5Gbps ESP 吞吐/ 150Mbps/ 70Mbps 国密 参数 → 三 IPSec/SSL VPN综合安全网关三未信安 · 安全 SSL并发用户10,000 国密并发/ ≥600算法支持SM1/SM2/SM3/SM4 国密 + 国际算法套件，符合 GM/T 0023、GM/T 0025SSL吞吐量800Mbps 国密加密吞吐/ ≥150Mbps 参数 →

左边是天融信 TopVPN6000 系列（从入门 1U 到 3.5Gbps 高端机架，跨三个档位），右边是三未信安 SecGW 国密网关（含政务云项目成交价 ¥95,245/台）。两款都持商用密码产品型号证书。

延伸阅读：VPN 与远程接入品类页、服务器密码机怎么选、签名验签服务器怎么选、等保三级设备清单。