那些年我们追过的VPN,正在被谁取代?
去年年底帮一家顺义的汽配工厂做安全评估,老工程师打开机房里那台用了七年的Cisco ASA时,我看到他的眼神里有种说不清的东西——不是嫌弃,更像是送别老战友。他那句”当年配这台玩意花了三天三夜”让我意识到,VPN这东西对很多北京企业来说,不只是工具,是记忆,是成本,是历史包袱。
但市场数据不会念旧情。IDC 2025Q4全球安全支出指南里,ZTNA(零信任网络访问)市场规模已达47亿美元,年复合增长率超过26%。Gartner更是直接预测:到2027年,60%以上的企业会用ZTNA替代传统VPN,比2024年的18%翻了三倍不止。这不是狼来了,是狼已经进村了。
从”有没有”到”怎么用”:ZTNA落地走到哪一步了
我把接触过的企业ZTNA落地情况分成三个阶段:第一类是POC阶段,企业往往是被合规或厂商推着走,有个客户去年做等保三级整改,厂商一听说他们还在用IPSec VPN,立刻建议上ZTNA做身份边界,他试探性地问能不能用现有华为防火墙凑合,我们只好说”能跑,但跑不远”;第二类是场景扩展期,过了POC的企业开始把ZTNA往深水区推——内部应用、SaaS、跨云环境,通州一家做医疗器械的厂商把ERP、研发环境和经销商门户全部纳入ZTNA管控;第三类是全面替代期,这阶段的企业已经不满足于”能用”,而是追求”好用”——SDP和微隔离联动、动态风险评估、端到端加密,顺义有个做智能制造的客户把ZTNA和工控网隔离做了联动,设备入网必须先过身份认证。
有意思的是,这三个阶段的分布基本符合正态分布。IDC调研显示,42%的企业还在POC或刚过POC阶段,35%处于场景扩展期,真正完成全面替代的只有23%。这意味着,大多数企业还有很长的路要走,也意味着这个市场远未饱和。
中小企业算账:ZTNA的ROI到底值不值
每次被客户问”这东西比VPN贵多少”,我都得先反问:你算的是采购成本,还是总拥有成本(TCO)?
采购成本确实高。主流ZTNA产品按用户数订阅,年费从300元/人/年(基础版)到1200元/人/年(企业版)不等,100人企业一年就是3万到12万。对比VPN设备的一次性投入(好的企业级VPN网关2-5万搞定),头三年确实贵那么一点。
但账要这么算:VPN的维护成本是企业IT的隐形黑洞。我们见过太多案例——VPN设备故障导致全员无法办公,凌晨两点IT总监被电话叫醒;疫情期间VPN并发瓶颈逼着企业临时扩容;员工离职后账号回收不及时留下安全隐患。这些隐性成本加上时间损耗,对中小企业来说可能比采购成本更致命。
ZTNA的优势恰恰在于”省心”。基于身份的访问控制意味着不需要管理一堆IP地址段,动态策略让员工离职即失权,细粒度日志让审计有据可查。IDC的调研数据显示,ZTNA用户的平均安全事件响应时间缩短了67%。我的经验公式:50人以上的企业,18个月基本能追平VPN的总拥有成本,之后每年节省的运维人力和降低的风险成本就是净赚。
落地路径:不是推倒重来,是渐进替换
很多企业一想到替换VPN就觉得要翻天覆地,其实没必要。我的建议一直是:不要做PPT驱动的零信任,要做业务驱动的零信任。实操路径可以参考四步走:
- 第一步:梳理资产。把当前VPN承载的应用按重要性和用户群体分类,搞清楚哪些是高频核心、哪些是低频边缘。这一步往往比技术选型更费时间,但对后续决策至关重要。
- 第二步:选一个”钉子场景”切入。远程办公是最常见的起点,因为VPN的痛点最明显,增量部署风险也最低。先在一条业务线上跑通,再考虑横向扩展。
- 第三步:逐步迁移。新应用直接上ZTNA,老应用在VPN里运行一段时间,通过网关做混合接入,慢慢把流量从VPN侧迁出来。这阶段最考验耐心,但也最能看到效果。
- 第四步:收编VPN。当ZTNA覆盖率达到80%以上,就可以考虑让VPN”退休”了。当然,核心设备可以留着做备用,谨慎点总没错。
整个过程对中小企业来说,通常需要6到12个月。急不得,也拖不得——太急容易踩坑,太慢则投入产出比难看。我们之前服务过一家做软件外包的客户,从远程办公场景切入,八个月完成了全面切换,期间没有一次因切换导致的业务中断。
但技术门槛降低不代表实施门槛降低。ZTNA落地从来不只是买产品,是重新梳理身份体系、是调整网络架构、是改变安全管理思路。想清楚这一点,比选哪个厂商更重要。
北京企业 IT 遇到瓶颈?思文力得 14 年 300+ 客户的整体方案等您咨询。
☎ 400-686-2011 · 📍 北京临空经济核心区汇海南路1号院4-305 · 点击联系我们
※ 合约期内另赠企业宽带或专线, 让您的业务连接更稳定。












