腾讯云国际版 VPN 连接实战：IPsec 与 SSL 网关官方 USD 单价、带宽档位同价陷阱与混合云双隧道配置全解析（2026）
Meta Description: 腾讯云国际版 VPN 连接：IPsec 网关 0.
- 先定位：VPN 连接在混合云方案里站哪一格
- 三笔钱：把「按流量计费」拆开看
- IPsec 网关官方单价：三个地域组 × 三个带宽档
- 第一层价差：100 Mbps 和 5 Mbps 同价，等于白送 95 Mbps
- 第二层价差：地域溢价随带宽档放大
- SSL VPN：网关费 + 累计阶梯连接费
- 四套场景账单：从双隧道到千连接
- 配额天花板：真正限制架构的不是钱
Meta Description: 腾讯云国际版 VPN 连接：IPsec 网关 0.078/0.088/0.12 USD/h、100 Mbps 与 5 Mbps 同价、SSL 连接费累计阶梯、474.5 GB 流量临界点与 20 隧道配额全解。
把 IDC 接进腾讯云国际版，绝大多数人第一反应是「买条专线」。但专线要拉运营商、要工期、要按月付带宽费，一条 100 Mbps 的跨境专线往往比云上所有服务器加起来还贵。于是 VPN 连接（VPN Connections）成了最常用的「先通起来」方案：一对 IPsec 隧道、一台 VPN 网关，半小时就能让机房和 VPC 三层互通。
问题是它的计费模型被名字骗了——官方叫「按流量计费（traffic-based billing）」，听起来像用多少付多少，实际账单里网关实例费是按小时固定收的，流量费只占其中一部分；SSL VPN 还多出一笔按「已创建连接数」收的连接费，笔数一多，连接费能比网关费贵两倍以上。
这篇把腾讯云国际版 VPN Connections 的真实价目、三个地域分组的价差、带宽档位的「同价陷阱」、配额天花板，以及双隧道主备的实际配置与排障顺序，一次讲清楚。所有单价取自官方定价页与产品文档（2026-10 复核），并以官方两个计费算例做过复算。
一、先定位：VPN 连接在混合云方案里站哪一格
腾讯云把 VPN 分成两条产品线：IPsec VPN（站点到站点，机房设备 ↔ VPC/CCN）和 SSL VPN（人到家，员工客户端 ↔ VPC）。两者不能互相转换，买了 IPsec 网关想改 SSL 只能重新买。
和站内其它几篇讲的网络产品相比，它们的边界其实很清楚：专线解决「稳定与带宽」，云联网解决「多 VPC 多地域互通」，NAT 网关/EIP 解决「出公网」，VPN 解决「用公网快速搭一条加密隧道」。
| 方式 | 连接的两端 | 承载网络 | 时延与抖动 | 主要计费项 | 什么时候该选它 |
|---|---|---|---|---|---|
| IPsec VPN | IDC 设备 ↔ VPC 或 CCN | 公网加密隧道 | 受公网影响，抖动明显 | 网关实例费 + 公网流量费 | 快速打通、专线备份链路、临时项目、跨境小分支 |
| 专线接入 DC | IDC ↔ VPC 或 CCN | 运营商独享线路 | 稳定、低抖动 | 专线带宽费 + 端口费 | 生产主链路、数据库同步、对时延敏感的业务 |
| SSL VPN | 员工终端 ↔ VPC | 公网加密隧道 | 受公网影响 | 网关费 + SSL 连接费 + 流量费 | 远程办公、外包运维、临时访问内网系统 |
| 云联网 CCN | VPC ↔ VPC、VPC ↔ 专线网关 | 腾讯云内网 | 内网级 | 跨地域带宽包 | 多 VPC 多地域互联（不是用来接入 IDC 的） |
| 堡垒机 / 跳板机 | 运维人员 ↔ 云主机 | 应用层代理 | 取决于入口链路 | 实例费 | 运维审计与权限管控，不是网络层打通 |
必须提前说清一条官方红线：腾讯云 VPN 连接不提供访问公网 Internet 的能力，也没有代理功能，官方明文禁止用技术手段绕过网络审查。它是「把两个私网连起来」的工具，不是出口。这一点决定了它不能当跨境加速或科学上网方案用，选购前先确认业务形态合规。
另外，IPsec VPN 分公网 VPN（走公网）和私网 VPN（走专线网关 DCG，流量不经过公网）两类。私网 VPN 需要提工单开通，但它的价值很大——后面算账会看到，它没有公网流量费。
二、三笔钱：把「按流量计费」拆开看
官方定价页把「按流量计费」定义为两部分：流量费（公网访问产生）+ 网关费（按小时，最小计 1 小时）。SSL VPN 再加第三部分：SSL 连接费（按小时，最小 1 小时）。
注意官方原话里有个容易误读的点：流量费的方向是VPN 网关的出方向流量（下行），不是双向。IDC 往云里推数据不计这部分；云里往 IDC 回传才计。做带宽预算时按「云 → IDC 的回传量」估，不是按链路总流量估。
| 计费项 | 出现在 | 计量方式 | 是否固定支出 | 地域敏感 | 官方口径要点 |
|---|---|---|---|---|---|
| IPsec 网关实例费 | IPsec VPN | 按小时，最小 1 小时 | 是，只要网关存在就收 | 是，按三组地域定价 | 官方 FAQ 明确「网关费是固定费用」 |
| SSL 网关实例费 | SSL VPN | 按小时，最小 1 小时 | 是 | 是，按两组地域定价 | 与连接数无关，只与带宽档有关 |
| 公网流量费 | IPsec / SSL | 按 GB | 否，用多少算多少 | 是 | 只计网关出方向（下行）流量 |
| SSL 连接费 | SSL VPN | 按「已创建连接数」× 小时，累计阶梯 | 是 | 否，全国统一价 | 买 100 个只建 50 个，按 50 个收 |
| 客户网关 / SSL 服务端 / 客户端 | IPsec / SSL | — | — | — | 免费，不计费 |
由此可以得出第一个反直觉结论：VPN 的账单里「固定成本」占比很高。一台 100 Mbps 的 IPsec 网关，哪怕一个月一个包都不发，也要付网关费；SSL VPN 再多一笔连接费。它适合「持续在线」的场景，不适合「一个月只用两天」的临时打通——那种需求应该用完就删。
三、IPsec 网关官方单价：三个地域组 × 三个带宽档
官方定价页把地域分成三组，同一组内同价：
- 组 1：北京、上海、广州、成都、重庆、南京
- 组 2：硅谷、法兰克福、首尔、弗吉尼亚、东京、台北（中国）、香港（中国）、圣保罗、雅加达、利雅得
- 组 3：新加坡、曼谷
| 带宽档 | 组 1（大陆 6 区） | 组 2（含香港、东京、弗吉尼亚） | 组 3（新加坡、曼谷） |
|---|---|---|---|
| 5 / 10 / 20 / 50 / 100 Mbps | 0.078 USD/h（≈56.94/月，683.28/年） | 0.088 USD/h（≈64.24/月，770.88/年） | 0.12 USD/h（≈87.60/月，1,051.20/年） |
| 200 / 500 / 1,000 Mbps | 0.46 USD/h（≈335.80/月） | 0.62 USD/h（≈452.60/月） | 0.78 USD/h（≈569.40/月） |
| 2,000 / 3,000 Mbps | 0.60 USD/h（≈438.00/月） | 0.90 USD/h（≈657.00/月） | 0.90 USD/h（≈657.00/月） |
月费按 730 小时折算，年费按 8,760 小时折算，不含公网流量费。官方声明价目表仅供参考，与控制台购买页不一致时以购买页为准。
这张表里藏了三条信息，绝大多数选型文章不会提：
第一，带宽档内同价。 5 Mbps、10 Mbps、20 Mbps、50 Mbps、100 Mbps 五档价格完全一样，200/500/1,000 三档也一样。也就是说，同样 0.078 USD/h，你买 5 Mbps 是买，买 100 Mbps 也是买。
第二，组 3 只覆盖新加坡和曼谷。 想做东南亚业务，选新加坡就要吃 53.8% 的地域溢价；换成香港或雅加达反而落在组 2，同样的 100 Mbps 只要 0.088 USD/h。
第三，2,000/3,000 Mbps 档的组 2、组 3 价格相同（都是 0.90）。 大带宽场景下地域溢价反而消失了，这时候地域选择只看业务就近，不看价格。
四、第一层价差：100 Mbps 和 5 Mbps 同价，等于白送 95 Mbps
把上面的第一行按每 Mbps 折算，价差立刻现形：
| 选购带宽 | 组 1 单价（USD/h） | 折算每 Mbps 单价（USD/h） | 相对 100 Mbps 的单价倍数 |
|---|---|---|---|
| 5 Mbps | 0.078 | 0.0156 | 20× |
| 10 Mbps | 0.078 | 0.0078 | 10× |
| 20 Mbps | 0.078 | 0.0039 | 5× |
| 50 Mbps | 0.078 | 0.00156 | 2× |
| 100 Mbps | 0.078 | 0.00078 | 1× |
同样一小时 0.078 美元，5 Mbps 的单价是 100 Mbps 的 20 倍。入门档的正确姿势永远是选 100 Mbps——除非你有明确的理由（比如内部成本分摊要按带宽记账），否则没有选 5/10/20/50 的理由。
但这里紧接着就是第一个坑：跨档不能原地升级。官方规定 IPsec 只能在 [5,100]、[200,1000]、[2000,3000] 三个区间内升降配，100 Mbps 想升到 200 Mbps 必须新建一台网关，老网关的隧道、路由、SPD 全要重配。而且官方明确「不支持降配」。
从 100 Mbps 跳到 200 Mbps，价格从 0.078 变成 0.46，是 5.9 倍——带宽涨 2 倍，钱涨近 6 倍。所以规划时的判断题不是「现在要多大带宽」，而是「未来一年会不会跨过 100 Mbps 这条线」：
- 如果一年内稳定在 100 Mbps 以内：直接买 100 Mbps，别买 5 Mbps 省那点不存在的钱，也别幻想能平滑升到 200。
- 如果预计会突破 100 Mbps：一开始就买 200 Mbps（或直接 1,000 Mbps，同档同价），避免重建。
- 如果只是临时验证连通性：买 100 Mbps，用完删网关，别让 56.94 USD/月的固定费躺着烧。
五、第二层价差：地域溢价随带宽档放大
把三组价格两两相除，会看到一个很有规律的放大效应：
| 带宽档 | 组 2 ÷ 组 1 | 组 3 ÷ 组 1 |
|---|---|---|
| 5–100 Mbps | 1.128（+12.8%） | 1.538（+53.8%） |
| 200–1,000 Mbps | 1.348（+34.8%） | 1.696（+69.6%） |
| 2,000–3,000 Mbps | 1.500（+50.0%） | 1.500（+50.0%） |
小带宽档的地域溢价只有 12.8%，大带宽档涨到 34.8%，新加坡/曼谷更是从 53.8% 一路涨到 69.6%。这意味着：带宽越大，地域选择越值钱。一台 1,000 Mbps 网关在组 1 是 335.80 USD/月，在新加坡是 569.40 USD/月，一年差 2,803 USD——足够再买好几台小网关。
反过来也有一个省钱的组合：多个小分支各建一条 100 Mbps 隧道，比集中建一台 1,000 Mbps 网关更便宜。一台 1,000 Mbps 网关（0.46）的价格等于 5.9 台 100 Mbps 网关，但隧道数上限只有 20 条，SPD 总数 100 个——所以「多条小网关」还是「一条大网关」的取舍，本质是在价格、隧道配额、路由表规模三者之间选。
六、SSL VPN：网关费 + 累计阶梯连接费
SSL VPN 的网关费只有两组地域，没有第三组：
| 带宽档 | 组 1（大陆 6 区） | 其余全部地域（含香港、新加坡、曼谷） |
|---|---|---|
| 5 / 10 / 20 / 50 / 100 Mbps | 0.078 USD/h（≈56.94/月） | 0.12 USD/h（≈87.60/月） |
| 200 / 500 / 1,000 Mbps | 0.46 USD/h（≈335.80/月） | 0.60 USD/h（≈438.00/月） |
连接费是累计阶梯（cumulative tiered），不是统一单价：
| 已创建连接数 | 该区间单价（USD/连接/小时） | 累计小时费（USD/h） | 折算月费（730 h） |
|---|---|---|---|
| 5 | 0.003（前 10 个） | 0.015 | 10.95 |
| 10 | 0.003 | 0.030 | 21.90 |
| 20 | 0.003 × 10 + 0.002 × 10 | 0.050 | 36.50 |
| 50 | 0.003 × 10 + 0.002 × 40 | 0.110 | 80.30 |
| 100 | 0.003 × 10 + 0.002 × 90 | 0.210 | 153.30 |
| 200 | 0.003 × 10 + 0.002 × 190 | 0.410 | 299.30 |
| 500 | 0.003 × 10 + 0.002 × 490 | 1.010 | 737.30 |
| 1,000 | 0.003 × 10 + 0.002 × 990 | 2.010 | 1,467.30 |
这张表里有两个必须记住的性质：
连接费按「已创建」收，不按「并发」收。 官方原文举例：买 100 个连接但只建 50 个客户端，按 50 个计费。反过来说，只要客户端凭证建出来了、整天挂在那里，哪怕一天只连 10 分钟，也按满月收。这和「按并发用户数」的商业 VPN 完全是两套逻辑，做预算时别按峰值并发估，要按发出去的账号数估。
连接数被带宽档卡死。 5–100 Mbps 的网关最多 100 个 SSL 连接；200/500 Mbps 最多 500 个；1,000 Mbps 最多 1,000 个。这不是「加钱就能加」，超了只能升带宽档——也就是从 100 Mbps 跨到 200 Mbps 那 5.9 倍的价差。
对比一下比例就更清楚：100 Mbps 组 1 网关是 0.078 USD/h，100 个连接费是 0.21 USD/h，连接费是网关费的 2.69 倍。所以 SSL VPN 的真正成本大头不是带宽，是账号数。反过来，连接费全国统一价（0.003/0.002），不随地域变——这和网关费的地域分组价差正好相反，意味着 SSL 场景下选地域主要看就近和合规，不太看连接费。
七、四套场景账单：从双隧道到千连接
把上面的单价代进真实场景（月按 730 小时，流量按官方算例口径 0.12 USD/GB，实际地域单价以控制台为准）：
| 场景 | 配置 | 网关费/月 | 连接费/月 | 流量费/月 | 合计/月 | 结论 |
|---|---|---|---|---|---|---|
| A. 广州 IDC 主备双隧道 | 100 Mbps 组 1，2 个客户网关 2 条隧道 | 56.94 | 0 | 视用量 | 56.94 起 | 客户网关与隧道免费，双隧道不加钱 |
| B. 50 人远程办公 | SSL 100 Mbps 组 1 + 50 连接 | 56.94 | 80.30 | 视用量 | 137.24 起 | 连接费占 58.5%，账号数才是主成本 |
| C. 混合云回传 5 TB/月 | IPsec 100 Mbps 组 1 | 56.94 | 0 | 614.40 | 671.34 | 流量费占 91.5%，此时该考虑专线 |
| D. 1,000 人 SSL 接入 | SSL 1,000 Mbps + 1,000 连接（新加坡） | 438.00 | 1,467.30 | 视用量 | 1,905.30 起 | 连接费占 77.0%，且必须买满 1,000 Mbps |
从这张表能读出三条决策规则：
规则一：小流量时网关费是主成本，大流量时流量费是主成本。 0.12 USD/GB 口径下，100 Mbps 组 1 网关费（56.94）刚好等于 474.5 GB/月的流量费。也就是说，每月回传量低于 474 GB，网关费更贵；高于这个数，流量费开始主导。到了 5 TB，流量费已经是网关费的 10.8 倍——这个量级继续用公网 VPN 就是拿钱换抖动，应该评估专线。
规则二：双隧道不加钱。 客户网关免费、VPN 隧道免费，所以做 HA 的正确做法是一开始就建主备两条隧道，成本只是多一个 IDC 侧设备的配置工作，云侧一分钱不加。只有网关实例费按台收（一台网关下挂多条隧道）。
规则三：SSL 的人数上去了，要比较「加连接」和「买带宽档」。 从 100 连接加到 500 连接，连接费从 153.30 涨到 737.30（+584），同时网关必须从 100 Mbps 换成 200 Mbps，网关费从 56.94 涨到 335.80（+278.86）。也就是说 500 人规模的 SSL 方案月成本 ≈1,073 USD 起，而不是很多人估的「几百美元」。
八、配额天花板：真正限制架构的不是钱
价格之外，VPN 的硬配额决定了它能撑多大架构，这些数字在选型阶段比单价更容易踩坑：
| 配额项 | IPsec VPN | SSL VPN |
|---|---|---|
| 每地域每账号 VPN 网关数 | 10（VPC）/ 10（CCN），可提工单提升 | 10（VPC）/ 10（CCN），可提工单提升 |
| 每地域客户网关数 | 20，可提工单提升 | 不适用 |
| 每个 VPN 网关的隧道数 | 20，不可提升 | — |
| 每个客户网关的隧道数 | 10（账号级配额） | — |
| 同一对「客户网关 ↔ VPN 网关」的隧道数 | 只能 1 条 | — |
| 网关最大带宽 | 3,000 Mbps | 1,000 Mbps |
| 网关双向总 pps | 3G 规格 280,000 pps / 1G 规格 120,000 pps | 同左（随带宽档） |
| 单隧道 SPD 数 | 10，不可提升 | — |
| 单网关 SPD 总数 | 100，不可提升 | — |
| 单 SPD 对端网段数 | 10，不可提升 | — |
| 网关路由表条目 | 1,000 | — |
| BGP 动态学习路由 | 每网关 2,000 条 / 每通道 500 条 | — |
| BGP ASN | 默认 64551，可设 1–4294967295 | — |
| SSL 服务端数 | — | 每网关 1 个 |
| SSL 服务端本地网段 | — | 500 个（网关 4.0 版本）/ 5 个（4.0 之前版本） |
| SSL 服务端客户端网段 | — | 1 个 |
| SSL 客户端证书有效期 | — | 3 年，不可调整 |
| 单次批量创建 SSL 客户端 | — | 100 个 |
其中最容易被忽略的是「同一对客户网关与 VPN 网关之间只能建 1 条隧道」。这句话直接决定了主备方案怎么落地：不能在同一台 IDC 设备、同一个客户网关下建两条到同一台云上网关的隧道，必须建两个客户网关（对应 IDC 侧两台设备或两条 ISP 出口），再各建一条隧道。官方的主备容灾文档正是这么做的：两个客户网关 D、E，两条隧道 B、C，然后在网关路由表里配两条到同一目的网段的路由，用优先级控制主备。
还有两个数字要划重点：
- SPD 总数 100：一个网关最多 100 条 SPD，每条 SPD 最多 10 个对端网段，所以理论上限是 1,000 条网段映射，但实际做多分支互联时，20 条隧道 × 每条 10 个 SPD 的约束会先撞上。
- SSL 客户端网段只能 1 个：给远程员工分配的地址池只有一个网段，规划时就把网段开够（官方建议地址数大于客户端数），否则后期扩容要重建服务端。
九、八步实操：从建网关到 ping 通 IDC
下面是控制台路径走一遍，顺序不要乱——顺序错了最常见的现象是「隧道 Connected 但业务不通」。
第一步：确认网络类型与关联对象。 单 VPC 接入选「VPC」，多 VPC 或跨地域选「CCN」。选 CCN 时网关创建完还要在详情页关联 CCN 实例，这一步漏了会出现「网关正常但没有路由」。
第二步：买网关。 协议类型选 IPsec 或 SSL，带宽上限按上一节的档位策略选（默认就选档顶 100 Mbps 或 1,000 Mbps），网络类型选公网（私网需先提工单），云子网选一个能分配 IP 的子网——这个 IP 会作为 VPN 网关的公网入口。
第三步：建客户网关。 客户网关是个逻辑对象，只记录 IDC 侧 VPN 设备的静态公网 IP。做 HA 就建两个，分别对应两条 ISP 链路或两台设备。
第四步：建 VPN 隧道。 选好本端网关和对端客户网关，填预共享密钥（PSK）、IKE 与 IPsec 参数、SPD 策略。SPD 里的本端网段是 VPC 侧网段，对端网段是 IDC 侧网段，两者不能与同一网关下其它 SPD 重叠。做全流量走隧道就填 0.0.0.0/0（官方主备容灾示例就是这么填的）。
第五步：配 IDC 侧设备。 这是最容易掉链子的一步。腾讯云不支持 aggressive mode，只支持主模式（main mode）；IDC 侧如果是老款防火墙默认开了 aggressive，协商必然失败。
第六步：配网关路由表。 路由型网关必须手工加路由：目的网段填 IDC 私网网段，下一跳选隧道。主备两条隧道就配两条同目的路由、不同优先级。
第七步：配 VPC 子网路由表。 把去往 IDC 网段的流量指向 VPN 网关。这一步和第六步是两件事，很多人只做了其中一个，于是「隧道通、业务不通」。
第八步：验证与监控。 从 VPC 内 CVM ping IDC 内主机，看隧道状态、看网关监控。注意网关监控粒度是 1 分钟、隧道是 10 秒，两边数字对不上是正常的统计口径差异，不是故障。
十、协商失败与「隧道通但业务不通」排查
官方 FAQ 把这两类问题的原因列得很清楚，但没给排查顺序。按下面的顺序走，一般三轮内能定位：
| 现象 | 最可能的原因 | 先查什么 |
|---|---|---|
| 隧道一直 Connecting / 协商失败 | IKE 或 IPsec 参数不一致、PSK 不一致、ID 类型不匹配 | 错误码（见下表）→ 逐项对参数 |
| 协商成功但一段时间后断 | DPD 探测失败、SA 生命周期不一致、公网抖动 | DPD 配置（默认 30 s，可设 30–60 s）→ SA 生存期 |
| 隧道 Connected 但 ping 不通 | 路由缺失（任一侧）、安全组/防火墙、SPD 不含该网段 | VPC 子网路由 → 网关路由表 → 两侧 ACL |
| 隧道 Up 但只有单向通 | SPD 的源/目的写反、NAT 设备改写了源 IP | SPD 本端/对端网段方向 |
| 突然整体不通且无配置变更 | 入口公网 IP 被管控封禁、IDC 侧防火墙升级后启用新参数 | 换公网 IP 试连、对比升级前后参数 |
隧道健康检查的判断逻辑值得单独说：官方默认每 5 秒发一次探测包，连续 3 次失败且时延超过 150 ms 就判定异常并切换；而 DPD 默认 30 秒超时、连续 3 次未响应才 Down，实际最快也要 90 秒。所以做主备时一定要开健康检查，它能把切换时间从 90 秒级压到 15 秒级。但要注意：健康检查必须在创建网关时开启，且官方建议「先建好主备两条隧道再开」，否则单隧道开启会在切换瞬间打断业务 3–5 秒。
| 协商错误 | 含义 | 处理动作 |
|---|---|---|
| no matching proposal / no proposal chosen | 加密算法、认证算法、DH 组、SA 生存期至少一项不匹配 | 对照下表逐项对齐，优先检查 DH 组与 SA 生存期 |
| no matching secret | 预共享密钥不一致 | 重新录入两侧 PSK，注意首尾空格 |
| TS_UNACCEPTABLE / no matching tunnel | SPD 网段不匹配或重叠 | 核对本端/对端网段，检查同网关上 SPD 是否重叠 |
| ID payload mismatch | 标识类型（IP/FQDN）或值不一致 | 两侧统一用 IP 地址标识 |
| 参数项 | 云端可配范围 | IDC 侧常见默认 | 对齐建议 |
|---|---|---|---|
| IKE 版本 | IKEv1（主模式）/ IKEv2 | IKEv2 或 IKEv1 野蛮模式 | 老设备可能只支持野蛮模式，云端不支持，需升级固件 |
| 认证算法 | SHA1 / MD5 / SHA2-256 等 | SHA2-256 | 统一 SHA2-256 |
| 加密算法 | 3DES / AES-128 / AES-192 / AES-256 | AES-256 | 统一 AES-256 |
| DH 组 | DH1/2/5/14/24 等 | DH14 或 DH2 | 统一 DH14（兼容性最好） |
| IPsec 封装 | ESP | ESP 或 AH | 统一 ESP，AH 在 NAT 场景会失效 |
| PFS | 开启需两侧一致 | 部分设备默认关 | 要么都开且组一致，要么都关 |
| SA 生存期 | 秒级可填 | 28800 s（8 小时）常见 | 两侧填相同值，差异过大会周期性重协商 |
排障时还有一个环境因素必须排除：VPN 网关的公网 IP 若被网络管控封禁，会出现「配置没动但突然全断」。官方 FAQ 把它列为「网关用着用着突然失败」的首位原因，处理方式是换一个公网 IP 重建网关（隧道和路由要重配）。
十一、七条省钱与避坑要点
- 入门档直接拉满 100 Mbps。 5 Mbps 和 100 Mbps 一个价，选小的纯亏；但记住 100 往上要重建网关，不能平滑升。
- HA 双隧道一开就建。 客户网关和隧道都免费，只多一份 IDC 配置成本，别等出事再补。
- 能用私网 VPN 就别用公网 VPN。 走专线网关的私网 VPN 没有公网流量费，大流量场景能省下整笔流量账（需提工单开通）。
- SSL 按「发出去的账号数」算钱，不按并发算。 账号回收机制要建起来，离职、外包结束立刻删客户端凭证，第 11 个及以后每个账号挂一年就是 17.52 USD。
- SSL 连接数受带宽档卡死。 100 Mbps 封顶 100 连接，要 500 连接必须买 200 Mbps 网关，别以为加钱就能加连接。
- 流量超过 474 GB/月就该重新比较方案。 这个量级以上，公网流量费开始主导账单，5 TB 量级建议评估专线 + 私网 VPN 的组合。
- 临时需求用完就删网关。 只删隧道不删网关，网关费照收；官方也明确「删网关前必须先删隧道」。欠费后 24 小时隔离、7 天（7×24 小时）未续费回收销毁，数据不可恢复。
总结
VPN 连接的定价模型拆开看只有三句话：IPsec 是「网关小时费 + 出向流量费」，SSL 是「网关小时费 + 出向流量费 + 已创建连接小时费」，客户网关、隧道、客户端全部免费。
真正决定账单的不是你选了多少 Mbps，而是三个隐性选择：带宽档选在哪一档（5 和 100 同价，跨档要重建且贵 5.9 倍）、地域落在哪一组（新加坡/曼谷比大陆贵 53.8%，大带宽档贵 69.6%）、SSL 发出去多少个账号（连接费可以是网关费的 2.69 倍）。
记住四个数字就够了：0.078（组 1 入门档每小时的裸价，等于 100 Mbps 随便用）、474.5 GB（网关费与流量费持平的月回传量）、2.69×（100 个 SSL 连接相对网关费的倍数）、1 条（同一对客户网关与网关之间只能建一条隧道，所以 HA 必须两个客户网关）。
延伸阅读：
🚀 需要腾讯云国际版 VPN 连接的选型与配置支持？ 无论是给一套「IDC + 多 VPC」的混合云定主备双隧道方案、算清 IPsec 与 SSL 一年到底要花多少钱、把 100 Mbps 档位与 200 Mbps 档位的分界线算明白，还是处理协商失败、隧道通但业务不通这类现场问题——我们都能按你的分支数量、回传流量画像、账号规模与合规要求，给出网关规格、地域选择与成本模型。
本文由 4.chengzicloud.cloud 提供，点击访问首页了解更多。
常见问题（FAQ）
IPsec 和 SSL 网关能互相转换吗？
不能。官方明确两者是不同类型的 VPN，不可互换。如果一开始选了 IPsec，后面要给员工做客户端接入，只能再买一台 SSL 网关，两台分开计费。
为什么叫「按流量计费」，账单里却有一大笔固定费用？
因为官方把「流量费 + 网关费」合起来叫按流量计费。网关费是按小时收的固定费用（最小 1 小时），只有流量费是真按量。官方 FAQ 里直接写明「网关费是固定费用」。预算时要按「网关月固定 + 流量变量」两段估。
100 Mbps 网关实际能跑到 100 Mbps 吗？
不一定。官方说明带宽上限是「VPN 网关到 Internet 的最大出方向带宽」，实际速度还取决于你的公网带宽和隧道内开销。官方 FAQ 里的例子是：买了 50 Mbps 网关，上传只有 2 Mbps，因为公网出口就是 2 Mbps。所以别拿网关带宽当链路带宽用。
双隧道主备需要买两台网关吗？
不需要。一台 VPN 网关下可以挂 20 条隧道，主备只是两条隧道。但要注意「同一对客户网关与 VPN 网关之间只能建 1 条隧道」，所以必须建两个客户网关（对应 IDC 侧两台设备或两条出口），隧道本身不收费。
SSL 连接买了 100 个，只用了 50 个，按哪个收费？
按 50 个收。官方原文：购买 100 个连接但只创建 50 个使用时，按 50 个计费。反过来，创建了但长期不连的账号照样按小时收，所以要把不用的客户端凭证删掉。
隧道显示 Connected，但业务 ping 不通，先查什么？
按这个顺序：VPC 子网路由表有没有指向 VPN 网关 → 网关路由表有没有指向 IDC 网段 → 两侧安全组/防火墙是否放行源和目的 IP → SPD 策略是否包含该网段。官方 FAQ 列了六个原因，绝大多数是前两项路由缺失。
健康检查和 DPD 有什么区别，都要开吗？
都要。DPD 默认 30 秒超时、连续 3 次失败才判定，最快 90 秒才切换；健康检查 5 秒一次、连续 3 次失败（时延 >150 ms）即切换，约 15 秒完成。健康检查需要在创建网关时开启，且建议先有主备两条隧道再开。
用 VPN 能给云主机提供公网出口吗？
不能。官方明确 VPN 连接不提供访问 Internet 的能力，也没有代理功能。要给 VPC 内主机出公网，用 NAT 网关 + EIP；要把 IDC 接进云，才用 VPN 或专线。