堡垒机价格与规格全解：资产数、并发数、带宽存储怎么配

1 两个数字决定价格：资产数和并发数

堡垒机的规格不是"标准版、专业版、旗舰版"这种功能分级，而是按容量切分。同一档规格的产品功能完全一样，差别只在能管多少资产、能扛多少并发、给多少带宽和存储。

资产数：能纳管的服务器数量。一台 ECS 算一个资产，一台物理机算一个，一个数据库实例也算一个。注意是"纳管"不是"存在"——只有加进堡垒机管理的才算。

并发会话数：同一时刻能建立的运维连接数。这个数字跟运维人数不是一回事。20 个运维人员，平均每人同时开 5 个会话，就是 100 并发。实际场景里 DBA 排查问题开七八个终端窗口很常见，按人头 × 1 估算会严重不足。

选购规则是：两个数字里取更大的那个，向上找最近的规格档。比如 50 资产、100 并发，要买"100 资产 100 并发"那档；80 资产、50 并发，也要买 100 资产那档。买小了不能单独扩，只能整档升级。

带宽和存储是跟着规格档捆绑给的，不能单独加购。这一点在选档时容易被忽略：如果资产数不多但需要频繁传大文件，可能要为带宽和存储提前升档。

3 三个最容易买错的点

坑一：200 资产规格的并发数还是 100，不是 200。

看表格会发现，100 资产和 200 资产两档，总并发数都是 100。也就是说从 100 资产升到 200 资产，价格从 2,520 涨到 3,520（基础版），但并发能力一点没变。如果你的瓶颈在并发而不在资产数，升到 200 资产档是白花钱，必须直接跳到 500 资产档（并发 500）。

坑二：RDP 会话上限远低于 SSH。

基础版 50 资产规格，纯 SSH 能跑 50 个并发，纯 RDP 只能跑 20 个。100 资产档是 100 对 30，200 资产档还是 100 对 30。也就是说如果你的运维对象以 Windows 服务器为主，买基础版很可能并发不够用。

企业版把 RDP 上限拉到 50（50 资产）、60（100 和 200 资产）、120（500 资产以上），是基础版的 2 到 3 倍。Windows 资产占比高的环境，这一项是选企业版的主要理由。

实际场景是混合的，总并发不会全部打满某一种协议。但如果 Windows 服务器超过一半，建议直接按企业版算预算。

坑三：基础版最高只到 500 资产。

1,000 资产和 2,000 资产两档，只有企业版和 SM 版，没有基础版。如果现在 400 资产用基础版，业务涨到 600 资产时不能续基础版，只能跳企业版，价格从 5,280 涨到 9,200，涨幅 74%。资产数在 400 到 600 之间、预期会增长的业务，提前规划企业版更稳妥。

另外注意 2,000 资产档的并发还是 1,000，跟 1,000 资产档一样。资产多但并发需求不高的场景（比如大量边缘节点只做审计、不常登录），2,000 资产档是合理的；如果并发也要跟着涨，就要考虑部署多套堡垒机分域管理。

4 资产数怎么数

"资产"的统计口径直接影响买哪档，采购前必须跟厂商确认清楚，不同产品的算法不完全一样。

通常算一个资产的：一台 ECS 实例、一台物理服务器、一个数据库实例（RDS、自建 MySQL 等）、一台网络设备（交换机、防火墙，如果纳入管理）。

通常不算资产的：负载均衡实例（SLB）、对象存储桶、CDN 域名、安全组规则。

需要确认的灰色地带：Kubernetes 集群里的 Pod 算不算、容器节点怎么算、云桌面算不算。这些口径各厂商不一致，签约前问清楚，否则上线后发现资产数超了很麻烦。

估算方法是把 CMDB 里的服务器清单导出来，按类型分类计数，再乘 1.2 的余量。留余量是因为业务会持续新增服务器，买刚好够用的话半年后就要升级。

5 并发数怎么估

并发数被低估是堡垒机采购最常见的问题。原因是很多人按"运维人数"估算，而实际并发跟人数、习惯、工具都有关。

比较接近实际的公式是：并发数 = 运维人数 × 人均同时会话数 × 峰值系数。

• 运维人数：包括运维工程师、DBA、开发（如果有生产环境登录权限）、外包人员。
• 人均同时会话数：普通运维 2 到 3 个，DBA 排查问题 5 到 8 个，做批量操作的能到 10 个以上。
• 峰值系数：取 1.5 到 2。故障排查时全员同时上线是常态。

举一个例子：15 个运维 + 3 个 DBA，普通运维按 3 个会话、DBA 按 6 个算，基础并发是 15 × 3 + 3 × 6 = 63，乘峰值系数 1.5 得 95，向上取整到 100 并发档。

如果这个环境里 Windows 服务器占多数，还要单独核对 RDP 上限：100 资产基础版的 RDP 上限只有 30，95 个并发如果大部分是 RDP，基础版扛不住，必须上企业版（RDP 上限 60）。

还有一个容易漏的场景：自动化运维工具。如果用了 Ansible、Jenkins 这类工具通过堡垒机批量执行，每个任务会占一个会话，几十台机器并发执行时会瞬间打满并发数。这类场景要单独预留并发额度，或者把自动化通道走独立通道不走堡垒机。

6 三个版本怎么选

基础版：只有 50、100、200、500 四档。带宽 8 到 16 Mbit/s，存储 1 到 2 TB，RDP 上限低（20 到 60）。适合纯 Linux 环境、运维人数少、不跑数据库运维的场景。价格最低，1,520 元/月起。

企业版：50 到 2,000 资产六档。带宽 12 到 24 Mbit/s，存储 2 到 3 TB，RDP 上限 50 到 120。功能上多了数据库运维管控、混合场景统一运维（线下 IDC、异构云、跨账号）、Web Terminal 网页运维、双引擎架构。适合有 Windows 资产、要管数据库、环境复杂的场景。价格 2,600 元/月起。

SM 版：规格参数与企业版完全相同，价格高 20% 左右。这个版本针对的是有特定合规或采购要求的场景，功能上跟企业版没有差别。除非采购流程明确要求，一般选企业版即可。

判断逻辑很简单：有 Windows 资产或要管数据库，选企业版；纯 Linux 且规模小，基础版够用；有明确合规采购要求，才考虑 SM 版。

7 采购前要准备什么

• 服务器资产清单。按 ECS、物理机、数据库实例分类计数，注意区分生产、测试、灾备环境是否都要纳管。
• 运维人员名单和角色。多少人、各自负责哪些系统、有没有外包或临时人员。这决定了账号体系和并发估算。
• Windows 与 Linux 资产占比。直接决定选基础版还是企业版，因为 RDP 上限差 2 到 3 倍。
• 是否需要数据库运维管控。需要就必须企业版，基础版不支持数据库纳管。
• 等保测评要求。等保三级要求运维操作全程审计、日志留存 6 个月。要确认存储容量够不够，以及审计日志能否导出给测评机构。
• 网络架构。堡垒机部署在哪个 VPC、通过什么方式访问内网资产、是否跨地域。跨地域场景要考虑带宽是否够。

8 开通与接入

第一步，购买实例。选地域、资产数档位、版本、购买时长。地域建议选跟主要资产同地域，减少跨地域延迟。

第二步，初始化配置。设置管理员账号、配置 VPC 和交换机、绑定 EIP（如果要从公网访问）。

第三步，导入资产。支持从 ECS 自动同步，也支持手工导入或 Excel 批量导入。自建机房的资产需要手工录入 IP 和凭据。

第四步，建用户和权限。按角色划分用户组，配置每个组能访问哪些资产、能做哪些操作。建议先按最小权限配，跑一段时间再放开。

第五步，配置审计策略。开启命令审计、会话录屏、文件传输审计。等保场景还要配高危命令阻断，比如禁用 rm -rf、drop table 这类操作。

第六步，接入验证。让实际运维人员跑一遍日常操作，确认连接速度、文件传输、录屏回放都正常。录屏文件占存储，要确认存储容量够用。

整个流程通常一到两天，资产多、权限复杂的场景要一周。

10 相关页面

• 堡垒机厂商横向对比与选型：4A 能力、审计深度、部署形态的差异对比。
• 数据库审计价格与选型：跟堡垒机的数据库管控功能怎么分工。
• 日志审计成本测算：运维日志与安全日志的统一留存方案。
• 云防火墙价格与规格：网络层访问控制跟运维层管控的边界。
• 等保合规咨询与整改：堡垒机在等保三级里对应哪一条控制项。