快速结论
Quick Take: 招标清单只写「服务器、交换机、存储」,买回来的是三套不同的配置,和一份没有意义的价格比较。每行写满 9 个字段——功能、性能下限、数量带单位、接口和光模块、授权年限、功率与散热、质保、交付窗口、验收测试——再加一张偏离表和一列替代价格。这样各家的差只在价格和交期,不在买什么。
你写的不是文书,是评标委员会将来能比什么。先花两小时在清单上,还是后面花一轮重招,自己选。把草稿条款发来,我们把会收回不可比报价的行先标出来,赶在开标之前。
询价只写「ZTNA 云服务商」会出什么事？
Quick Answer: 定了用不了的云席，或本可用云却堆了闲置硬件。
典型场景：采购搜「ZTNA 云服务商」，按最低人月定云席，安全随后发现 OT 画面机与数据驻留条款挡云代理——中标后再改 BOM。或反过来：办公已是 SaaS+远程，却为「自己掌握零信任」买双机 appliance，远程用户仍等数月才有接近 PoP 的体验。典型场景，非具名客户。
宽题购买指南另文写 ZTNA 对 VPN、品牌短名单与计费坑。本篇只答交付模式门：买云 SSP 的 ZTNA，还是自建 appliance/VM。偏离表也应先写模式再写品牌。
云 SSP 与自建对照表（2026-10-23）
Quick Answer: 先模式后品牌；软价格待确认。
| 维度 | 云 SSP / PoP ZTNA | 自建 appliance / VM |
|---|---|---|
| 控制面 | 厂商云 + 租户管理 | 本地 / 私有云控制器 |
| 用户覆盖 | 全球 PoP，远程上线快 | 受自有站点与连接器限制 |
| 开支形态 | 多为席位/订阅 OpEx | 硬件/VM CapEx + 订阅 |
| 更合适 | 分散办公、HTTP 私有应用 | 驻留、气隙、OT/厚客户端 |
| 询价风险 | 应用不可代理则席位闲置 | 用户本是云优先则硬件闲置 |
| 示例路径 | ZPA、Prisma Access、FortiSASE（云） | FortiGate ZTNA / 私有代理 / VM 控制器 |
厂商名为交付示例，不是定标短名单。席位价、PoP SLA 与硬件料号 = 行业估算 / 待确认。NIST SP 800-207 讲策略决策与执行点，不强制云或本地。
采购语境里「买云 SSP ZTNA」指什么？
Quick Answer: 向云服务商买按身份态势代理的应用访问，不是换皮 VPN 集中器。
定义：以云服务商方式买 ZTNA，指私有应用的身份/态势感知代理跑在厂商云 PoP；站点侧跑连接器指向应用，用户不落平坦网段。自建指策略决策/执行面由你在 appliance 或 VM 上运营。
好比买机票还是买飞机：目的地一样（命名应用），控制塔归谁不同。路线有主权门禁时，要自己开的那架，不是更便宜的座位。
专票与偏离表不改变物理：模式锁错，审计再漂亮也会在联调周暴露。
把云 SSP / 自建锁进询价，6 步怎么走？
Quick Answer: 应用 → 约束 → 模式 → 同口径计量 → 双路径 → 砍 VPN 闲置。
- 第 1 步 — 列出应用与协议 — HTTP/SaaS vs 厚客户端、RDP、SSH、OT——每行标可否被代理。
- 第 2 步 — 标驻留与断网 — 控制面或流量不能出边界 → 该段不适合纯云 SSP。
- 第 3 步 — 先锁交付模式再选品牌 — 询价每行写明云 SSP 席位或自建 appliance/VM。
- 第 4 步 — 对齐用户与态势计量 — 各家同一活跃用户、MFA、终端态势、连接器站点。
- 第 5 步 — 双路径分列报价 — A 列云 SSP；B 列自建。禁止合成一个「ZTNA」总价比。
- 第 6 步 — 砍掉 VPN 闲置席位 — 迁到 ZTNA 的人群去掉全隧道 VPN，只留范围明确的兜底。
小步先行：打开应用清单。若「协议 / 驻留 / 断网」三列空白，先填再比任何云 SSP 人月价。
谁必须买云 SSP，谁必须自建？
Quick Answer: 全球 HTTP 办公：云。驻留/OT/气隙：自建或分段混合。
知识工作者分散、IdP 就绪、HTTP 私有应用。云 SSP 在上线速度与 OpEx 上胜出。首轮询价写清 PoP 区域与连接器站点。
厂区 OT、厚客户端或主权条款。自建 appliance/VM——或混合：办公走云、OT 走本地代理。勿用同一云席 SKU 硬套两个人群。
- 适合：偏离表要分列云与自建；从全隧道 VPN 迁 ZTNA；SASE 包里 ZTNA 是私有应用行。
- 不适合：个人消费级 VPN；无应用清单；无 IdP/MFA 计划。
交付模式选型常见坑
Quick Answer: 不可代理应用却买云席；无驻留需求却堆硬件；VPN+ZTNA 双满配。
| 坑 | 后果 | 解法 |
|---|---|---|
| 未审应用就定云 | 席位闲置，OT 仍走 VPN | 每应用标可否代理 |
| 无驻留却自建「为了掌控」 | 远程上线慢 | 该段改云 SSP |
| 一个「ZTNA」总价 | 模式不可比 | 双路径分列 |
| 满配 VPN+满配 ZTNA | 闲置浪费 | 仅保留范围明确的 VPN 兜底 |
| 忽略 IdP/MFA | 变成慢 VPN | 先预算身份再订席 |
| 漏写连接器站点 | 突然冒出硬件行 | 询价首日列站点 |
常见问题
Quick Answer: 招标 BOM 是发标方的比价基准:同样的行、同样的单位、同样的授权年限。投标用偏离表答,委员会比行不比总价。
以云 PoP 交付零信任网络访问（ZTNA）的厂商路径：按身份与终端态势把用户接到命名应用，而不是整段 VPN 进网。云交付示例含 Zscaler ZPA、Prisma Access、FortiSASE 等——具体料号以带日期报价为准，待确认。
应用可被代理/连接器接入、需要快速覆盖远程用户、且控制面可放在厂商云、无硬驻留/断网/OT 协议挡路时，优先云席位 OpEx。有硬约束则自建 appliance/VM + 连接器。
政策要求控制面或数据面留在边界内、OT/厚客户端需本地代理、气隙站点、或主权条款禁止云 PoP 终结时。自建仍用连接器，不是「换皮 VPN」。
不一定。ZTNA 是私有应用访问这一块；SASE/SSE 常再捆 SWG、CASB、FWaaS。先按 ZTNA 计量询价，招标写了上网/CASB 再用再加席位。
对齐：活跃用户数、命名应用、态势检查、连接器/站点、PoP 区域、IdP/MFA、VPN 兜底范围、控制面是云还是自建。同一人群勿重复买满配 VPN+ZTNA。
能。发来应用清单与约束，一个工作日内标出云 SSP 与自建行。价格与交期待确认，可开 13% 专票。
参考文献
Quick Answer: 买家行为数字来自 G2 与 TechnologyMatch 的 2026 调研;招标规模来自 DoNews 对 2026 年前 7 个月中标的跟踪。2026 年 10 月 21 日核对。
关键结论
Key Takeaway: 应用可代理且 OpEx PoP 合适时买云 SSP ZTNA；驻留、OT 或气隙锁控制面时自建 appliance/VM。询价锁交付模式。滔涵一个工作日内映射；价格待确认，可开 13% 增值税专票。