TCO VPN aziendale: cloud vs on-prem per 100, 500 e 1000 utenti

Introduzione: perché il tema è attuale e cosa scoprirai

Il VPN aziendale resta la base per accesso remoto e connettività tra sedi anche nell’era Zero Trust e SASE. Ma in pratica è proprio il costo totale di possesso, più che la tecnologia in sé, a determinare l’architettura e la scelta della piattaforma. Qual è il TCO del VPN cloud e on-prem per 100, 500 e 1000 utenti nel 2026 considerando prestazioni, crittografia, ridondanza, supporto, compliance e costi nascosti di gestione? In questa guida calcoleremo passo passo il costo totale per scenari tipici, proporremo formule e framework testabili, forniremo istruzioni dettagliate per valutazione e ottimizzazione, mostreremo casi concreti ed errori comuni. Alla fine avrai un modello TCO affidabile per pianificare budget e architettura tecnica.

Basi: concetti fondamentali su TCO e architettura VPN aziendale

Cos’è il TCO per VPN

TCO (Total Cost of Ownership) è il costo complessivo di possesso su un periodo definito (di solito 36–60 mesi) che include: CAPEX (hardware, licenze perpetue, implementazione), OPEX (manutenzione, supporto, abbonamenti, elettricità, spazio rack, traffico dati), oltre a costi dei rischi e downtime (penali SLA, ricavi persi, danni reputazionali e di compliance). Nei progetti VPN fino al 60% del TCO spesso riguarda operazioni e personale, mentre i costi tecnologici variano a seconda del protocollo scelto, architettura dei tunnel e profilo di traffico.

Architetture chiave e termini

• Remote Access VPN: gli utenti si connettono tramite client (WireGuard, OpenVPN, IKEv2, SSTP, L2TP) a un concentratore di accesso.
• Site-to-Site VPN: collegamenti tra sedi, data center e cloud.
• Tunnel completo (full tunnel) vs tunnel diviso (split tunnel): nel primo caso tutto il traffico passa attraverso il VPN, nel secondo solo le reti e applicazioni aziendali.
• Cloud VPN: distribuito in IaaS o come servizio Managed VPN del provider. Si paga per risorse compute, traffico, IP pubblici e supporto.
• On-prem: infrastruttura propria in data center o ufficio: server o appliance hardware, linee, alimentazione e gestione interna.
• Protocolli: WireGuard (moderno, ad alte prestazioni), OpenVPN (classico collaudato), IKEv2/IPsec (standard de facto per S2S e client enterprise), SSTP e L2TP per compatibilità.

Durata e ammortamento

Per l’hardware on-prem si usa tipicamente un ammortamento di 3–5 anni. Nel cloud dipende da riserva, ottimizzazione per i picchi e possibile migrazione tra istanze. Nel pianificare il TCO si considera un orizzonte di 36 mesi aggiungendo uno scenario a 60 mesi per analisi di sensitività. Così puoi valutare l’impatto di sostituzioni hardware ed evoluzione dei carichi.

Approfondimento: fattori di costo, prestazioni e rischi

Driver del TCO

• Prestazioni e scala: numero di connessioni simultanee, carico crittografico, banda per utente, eventi di picco (videoconferenze, aggiornamenti).
• Affidabilità e disponibilità: cluster HA, active-active o active-passive, geo-ridondanza, RTO e RPO. SLA più alti significano nodi e linee extra più costosi.
• Sicurezza e compliance: MFA, PKI, HSM, audit, log in SIEM, DLP, requisiti regolatori di settore. Ogni controllo aggiunge componenti e OPEX.
• Maturità operativa: automazione (IaC), monitoraggio, aggiornamenti, test di resilienza, documentazione e formazione. Riduce incidenti ma richiede esperti dedicati.
• Traffico e instradamento: split vs full tunnel cambia drasticamente il costo dell’egress nel cloud e la capacità on-prem.
• Licenze e supporto: stack client commerciali, supporto vendor, piani cloud premium vs open source più expertise interna.

Modellazione del carico 2026: cosa è cambiato

• Più videochiamate e applicazioni interattive, quindi picchi di banda superiori e sensibilità al jitter.
• Adozione diffusa di WireGuard per prestazioni CPU-core migliori e crittografia semplificata.
• Requisiti di audit più stringenti: conservazione dei log di accesso 180–365 giorni, correlazione con EDR e IdP, MFA di default.
• Crescita di topologie ibride: parte utenti passa per SASE, altro attraverso VPN aziendale (es. accesso a sistemi legacy).

Approccio basato sul rischio

Nel TCO considera il costo degli eventi: un down di 2 ore del concentratore VPN nelle ore di lavoro può costare decine di migliaia di dollari di produttività persa. Se l’azienda vende servizi online, la perdita di transazioni aumenta l’importo. Includi sempre la stima: probabilità incidente × danno. Misure architetturali (HA, active-active) riducono probabilità/danno ma aumentano il TCO base. L’optimum si raggiunge con un bilanciamento.

Metodo 1. Framework TCO: formule, struttura e passaggi

Struttura dei costi

• CAPEX: hardware (server, NIC, HSM), licenze perpetue, implementazione e migrazione.
• OPEX: istanze cloud, traffico egress, IP, spazio rack ed energia, linee DIA, supporto vendor, abbonamenti (MFA), ridondanza, monitoraggio e SIEM.
• PeopleEx: FTE per manutenzione (NOC, NetSec), reperibilità, formazione e documentazione.
• RiskEx: perdite attese da downtime e incidenti di sicurezza, penali compliance.

Formule

TCO = (CAPEX/durata) + OPEX + PeopleEx + RiskEx. Per unificaíone si trasforma CAPEX in ammortamento mensile. Unit Economics: CPUU costo per utente al mese = TCO / N utenti. CPGb costo per capacità Gbps = (costo mensile risorse)/banda fornita. CPConn costo per connessione simultanea = (costo)/connessioni massime.

Parametri di carico

• Concurrency: 20–40% utenti attivi simultaneamente (media 30% per white collar). Per i picchi si considera 1,5–2x della media attiva.
• Profilo traffico: split tunnel 10–20 GB per utente al mese; full tunnel 40–80 GB. Base usata: 15 GB e 60 GB rispettivamente.
• Velocità picco per utente attivo: 2–5 Mbps per lavoro d’ufficio, 5–8 Mbps in video HD. Si prende 5 Mbps per picchi, 2,5 Mbps con headroom del 50%.

Checklist assunzioni

• Numero utenti, SLA richiesto (es. 99,9%), requisiti regolatori.
• Split vs full tunnel, quota Mac/Windows/Linux, client mobili.
• Protocolli: WireGuard di default, OpenVPN/IKEv2 per compatibilità.
• Geografia e latenza: posizione utenti e applicazioni.
• Esistenza di linee e data center.
• Grado di automazione e competenza del team.

Metodo 2. Calcolo TCO: 100, 500 e 1000 utenti (cloud vs on-prem)

Assunzioni generali per il confronto

• Orizzonte: 36 mesi. Valuta: USD per neutralità (conversione al momento dell’implementazione).
• MFA: 1 dollaro per utente al mese (spesso licenza enterprise, qui conteggiata come incremento per VPN).
• SIEM e audit: 150–300 dollari al mese secondo scala (pochi log ma con retention e correlazione).
• Costo personale: 100k dollari annui fully loaded per FTE sicurezza reti (8333 dollari mensili). Nel cloud quota FTE minore per minor gestione fisica.
• WireGuard protocollo principale per banda; OpenVPN e IKEv2 per compatibilità.
• Concurrency: 30% utenti attivi; coefficiente di picco 2x sulla capacità.

Modeling della capacità

• 100 utenti: 30 attivi. Picco 30 × 5 Mbps × 2 = 300 Mbps (full). Con split ~40% traffico: circa 120 Mbps.
• 500 utenti: 150 attivi. Picco 150 × 5 × 2 = 1500 Mbps (1,5 Gbps full). Split ~600 Mbps.
• 1000 utenti: 300 attivi. Picco 300 × 5 × 2 = 3000 Mbps (3 Gbps full). Split ~1200 Mbps.

Cloud: costi mensili

Componenti: istanze compute (HA 2–6 nodi), traffico egress (0,06 $ per GB con sconti), IP e storage (20–80), supporto provider (300–800), operazioni (0,2–0,6 FTE), MFA (1 per utente), SIEM (50–300). Si assume ottimizzazione istanze e vicinanza geografica utenti.

100 utenti

• Istanze: 2 × medio C class = 136.
• Traffico: split 1,5 TB ≈ 92; full 6 TB ≈ 369.
• IP e storage: 20.
• Supporto: 300.
• Operazioni: 0,2 FTE ≈ 1667.
• MFA: 100.
• SIEM e audit: 50.

Totale cloud 100: split ≈ 2398 $ al mese (≈ 24 $ per utente), full ≈ 2675 $ (≈ 26,8 $ per utente).

500 utenti

• Istanze: split 400, full 600 (più nodi/classi).
• Traffico: split 7,5 TB ≈ 461; full 30 TB ≈ 1843.
• IP e storage: 50.
• Supporto: 500.
• Operazioni: 0,4 FTE ≈ 3333.
• MFA: 500.
• SIEM: 150.

Totale cloud 500: split ≈ 5361 (≈ 10,7 $ per utente), full ≈ 6943 (≈ 13,9 $).

1000 utenti

• Istanze: split 700, full 900.
• Traffico: split 15 TB ≈ 922; full 60 TB ≈ 3686.
• IP e storage: 80.
• Supporto: 800.
• Operazioni: 0,6 FTE ≈ 5000.
• MFA: 1000.
• SIEM: 300.

Totale cloud 1000: split ≈ 7802 (≈ 7,8 $ per utente), full ≈ 11766 (≈ 11,8 $).

On-prem: costi mensili

Componenti: server/appliance (ammortamento 36 mesi), linee DIA (doppie per ridondanza), spazio rack ed energia, supporto vendor, operazioni (0,4–1,0 FTE), MFA, SIEM, ricambi. Si assume stack open source su server commodity; se si usano licenze commerciali per utente, vanno aggiunte.

100 utenti

• Server: 2 × 2500 = 5000, ammortamento 139 al mese (inclusi 2000 NIC e piccoli accessori, totale 139).
• Linee DIA: 2 × 500 Mbps ≈ 1200.
• Spazio rack e energia: 480.
• Supporto: 100.
• Operazioni: 0,4 FTE ≈ 3333.
• MFA: 100.
• SIEM e audit: 150.
• Ricambi e piccoli costi: 100.

Totale on-prem 100: ≈ 5479 $ al mese (≈ 54,8 $ per utente).

500 utenti

• Server: 2 × 4000 = 8000 più accessori, ammortamento ≈ 166.
• Linee DIA: 2 × 1 Gbps ≈ 2400.
• Spazio rack e energia: 500.
• Supporto: 200.
• Operazioni: 0,6 FTE ≈ 5000.
• MFA: 500.
• SIEM: 250.
• Ricambi: 150.

Totale on-prem 500: ≈ 9166 (≈ 18,3 $ per utente).

1000 utenti

• Server: 3 × 5000 = 15000 più accessori, ammortamento ≈ 300.
• Linee DIA: 2 × 2 Gbps ≈ 4000.
• Spazio rack e energia: 600.
• Supporto: 300.
• Operazioni: 1,0 FTE ≈ 8333.
• MFA: 1000.
• SIEM: 400.
• Ricambi: 200.

Totale on-prem 1000: ≈ 15133 (≈ 15,1 $ per utente).

Conclusioni confronto base

• Per tutte le tre scale il cloud con split tunnel risulta più economico rispetto all’on-prem, specialmente per 100 e 500 utenti.
• Il full tunnel in cloud resta competitivo fino a 1000 utenti grazie al risparmio su FTE e assenza di linee DIA in DC, ma è molto più costoso per traffico egress.
• L’on-prem è conveniente solo se si hanno già linee DIA e data center pagati, alta expertise interna e l’incremento amministrativo non supera 0,2–0,3 FTE. In questo caso il TCO per 1000 utenti può scendere a 9–11 $ per utente mese.

Scenari alternativi di sensitività

• Se linee DIA già esistono (costo zero): on-prem 1000 utenti scende a ≈ 11133 (≈ 11,1 $ per utente).
• Se costo FTE più alto (es. 140k USD annui): il cloud aumenta meno di on-prem dato che la quota FTE è minore.
• Se si includono licenze VPN commerciali (20–40 $ per utente anno): entrambi aumentano ma on-prem pesa di più per DIA e volumi grandi.
• Se l’egress in cloud è più caro (0,09 $ per GB): full tunnel a 1000 utenti aggiunge circa 1843 $ e diventa vicino al costo on-prem.

Metodo 3. Normalizzazione tecnico-economica: come dimensionare l’infrastruttura correttamente

Prestazioni protocolli

• WireGuard: scala linearmente per core, 1–2 Gbps per vCPU su host moderni con accelerazione crittografica. Ottima scelta per elevata densità utenti.
• OpenVPN: 200–400 Mbps per core con AES-NI e ottimizzazioni. Utile per compatibilità ma meno efficiente.
• IKEv2/IPsec: stabile per S2S, prestazioni simili a WireGuard su hardware con accelerazione.

Dimensionamento passo passo

1. Definisci la concurrency e Mbps picco per utente attivo.
2. Calcola capacità picco (attivi × picco × headroom).
3. Scegli il protocollo: WireGuard per client massivi, IKEv2/IPsec per S2S, OpenVPN per client legacy.
4. Abbina al profilo istanze: parti da 2 vCPU e scala a 4–8 vCPU testando performance crittografiche e context switching.
5. Progetta HA: minimo 2 nodi active-active, per 500+ utenti 3–4 nodi per regione.
6. Verifica MTU e MSS soprattutto con doppio incapsulamento e S2S; cause frequenti di degrado prestazioni.
7. Imposta limiti su handshake e rate limit per difesa da DoS su flood UDP.

Osservabilità e user experience

• Raccogli metriche: sessioni attive, handshake ripetuti, latenza verso applicazioni, PLR, banda per utente. Visualizza su Grafana.
• Abilita anomaly detection: picchi di egress, paesi inconsueti, tentativi login multipli – automatizza playbook SOC.
• Testa degradazioni: outage nodo o regione, aumento improvviso del carico 30–50%.

Metodo 4. Costruzione di un calcolatore TCO: artefatti e template

Template dati in ingresso

• Utenti, quota attivi, split vs full, gigabyte per utente.
• Protocolli e percentuali per client.
• Elenco regioni, latenza, requisiti HA e DR.
• Prezzi per istanze/linee/spazio rack/energia, costi FTE.

Campi calcolati

• Capacità picco, numero nodi per regione, costo totale istanze.
• Traffico egress e costo.
• Ammortamento CAPEX e OPEX.
• Personale proporzione FTE e reperibilità.
• RiskEx: probabilità × danno per 2–3 scenari chiave.

Istruzioni passo passo

1. Raccogli baseline 1 mese pilota: attività utenti, GB, Mbps picco.
2. Applica coefficienti di crescita (stagionalità, assunzioni, nuove app).
3. Calcola 2 scenari: 100% split e 100% full, estremi di progetto.
4. Aggiungi HA e DR sopra calcolo nodi.
5. Dettaglia FTE: amministrazione, automazione, supporto 1° livello.
6. Effettua stress test e affina dimensionamento.
7. Componi modello finale TCO 36 mesi e unit economics per utente.

Metodo 5. Pratica di implementazione: cloud passo passo

Obiettivi e criteri

• SLA 99,9%, RTO 15 minuti.
• Split di default, full per ruoli privilegiati e policy.
• MFA e binding con IdP (SAML/OIDC).

Passaggi

1. Scegli regioni istanze vicino agli utenti.
2. Deploy 2–4 nodi WireGuard/OpenVPN active-active, aggiungi bilanciatori (L4/UDP-aware).
3. Automatizza configurazioni via IaC e template client.
4. Configura rotte split e policy per gruppi (HR, Dev, Finance).
5. Integra MFA e imposta politiche rotazione chiavi/certificati.
6. Attiva logging centralizzato in SIEM, alert anomaly detection.
7. Esegui test di carico e deployment a fasi (canary release).

Checklist

• Test di recovery per caduta nodo o regione.
• Procedure di rotazione e revoca chiavi.
• Documentazione per supporto L1/L2.
• Verifica periodica egress e sconti Reserved/Committed.

Metodo 6. Pratica di implementazione: on-prem passo passo

Obiettivi e criteri

• Bassa latenza verso sistemi interni, controllo linee.
• Flessibilità su HSM/PKI e compliance di settore.

Passaggi

1. Scegli data center e acquisisci 2 connessioni DIA indipendenti.
2. Acquista 2–3 server con AES-NI, NIC 10G, alimentazione ridondata.
3. Deploy WireGuard/IKEv2 su hypervisor o bare metal, configura active-active.
4. Implementa split routing, se serve route-based IPsec verso cloud esterni.
5. Integra MFA, IdP, log centralizzati, HSM/TPM per key storage.
6. Costruisci monitoring e backup configurazioni.
7. Esegui test resilienza: caduta DIA, nodo o degrado routing.

Checklist

• Licenze commerciali e open source, contratti supporto e tempi fornitura.
• SLA con provider linee, accordi tempi riparazione.
• Procedure spare: NIC di riserva, server spare, verifica compatibilità firmware.

Metodo 7. Ottimizzazione TCO: 12 leve di risparmio

• Split tunnel di default con full tunnel solo per ruoli specifici. Risparmia egress e capacità linea.
• WireGuard come protocollo base: più prestazioni per core, meno CPU e nodi.
• Geo-localizzazione nodi: riduce RTT, migliora efficienza connessioni e banda picco.
• Sconti Reserved/Committed su istanze cloud e traffico egress.
• Scalabilità automatica per ore di picco.
• Routing diretto verso SaaS (local breakout) invece di passare da data center.
• Client unificati con config per gruppi e policy.
• Test di performance continui e ottimizzazione MSS/MTU.
• Riduzione FTE grazie a IaC, GitOps e moduli pronti di deploy.
• Aggregazione log e retention intelligente (metadata a lungo, log dettagliati più brevi con archivio freddo).
• Acquisto linee con burst e SLA su jitter/latency.
• Configura keepalive per non mantenere connessioni attive inutilmente.

Errori tipici da evitare nel costruire TCO e architettura

• Ignorare concurrency e picchi: calcolo su medie senza headroom porta a sovraccarichi e downtime.
• Scelta errata del protocollo: usare OpenVPN dove serve WireGuard o IKEv2 genera nodi e costi in eccesso.
• Full tunnel senza motivo: aumenta molto costi egress e capacità.
• Mancanza HA o ridondanza linee: risparmi di decine di dollari si traducono in migliaia di perdite per downtime.
• Sottovalutare operazioni: FTE e reperibilità costano sempre più di quanto si pensi. Documentazione e automazione si ripagano.
• Licenze commerciali senza giustificazione TCO: costo utente raddoppia dove open source e competenza bastano.
• Geografia non ottimale: nodi lontani aumentano latenza e costi banda.

Strumenti e risorse per la pratica

Stack protocolli e server

• WireGuard per accesso utente performante e S2S.
• OpenVPN per compatibilità con client legacy e proxy specifici.
• strongSwan/Libreswan per IKEv2/IPsec, soprattutto S2S e BGP-over-IPsec.
• SoftEther come opzione multiprotocollo con NAT traversal avanzato.

Gestione e automazione

• Infrastructure as Code: Terraform/Ansible per deploy nodi e policy.
• CI/CD configurazioni: GitOps, revisione routing e ACL.
• Monitoraggio: Prometheus, Grafana, exporter per WireGuard/OpenVPN.
• Sicurezza: CA (PKI), integrazione IdP (AD/Entra, Okta, Keycloak), MFA di default.
• Log: centralizzati in SIEM, normalizzati, monitoraggio login falliti e anomalie geografiche.

Soluzione pratica per piloti e PoC rapidi

Per confermare ipotesi, testare split vs full, misurare carichi reali e raccogliere baseline senza lunghi cicli di acquisto, è comodo usare servizi come vpn.how. VPN personali (non condivise, IP dedicato), supporto WireGuard, OpenVPN, IKEv2, L2TP, SSTP con scelta adatta al caso, server in tante località: Mosca, San Pietroburgo, Amsterdam, Francoforte, Londra, New York, San Jose, Chicago, Singapore, Sydney, Madrid, Helsinki, Stoccolma, Varsavia, Copenaghen, Stavanger; accettano carte russe (inclusi Tinkoff e Ozon), SBP, USDT/BTC; tariffe da 490 rubli al giorno o 2490 al mese con sconti a lungo termine; attivazione in 5 minuti. Ottimo per piloti e PoC: si montano nodi velocemente, si raccolgono metriche traffico, si verifica compatibilità client e policy routing. Per produzione su lungo periodo conviene migrare a infrastrutture proprie (cloud o on-prem) o soluzioni certificate come GOST-VPN per sicurezza e compliance.

Casi studio e risultati: come i numeri influenzano la scelta

Caso 1: 100 utenti, team di sviluppo distribuito

Obiettivo: accesso sicuro a Git, CI, staging. Requisiti: split tunnel, 99,9%, WireGuard. Risultato: cloud 2398 $ al mese (24 $ per utente), on-prem 5479 $ (54,8). Scelta: cloud con 2 nodi e IaC. Da pilota a produzione in 2 settimane. Risparmio 55% rispetto a on-prem. Payback automazione (Ansible + CI/CD config) in 3 mesi grazie a riduzione FTE da 0,3 a 0,2.

Caso 2: 500 utenti, fintech con requisito di full filtering traffico

Obiettivo: full tunnel attraverso contorni aziendali, ispezione e logging. Risultato: cloud 6943 $ al mese, on-prem 9166. Sorpresa: egress aumentato molto, ma FTE pesa ancora di più on-prem. Scelta: modello ibrido. 60% utenti con split (SaaS diretto), 40% con full tunnel cloud ispezionato. Costo finale scende a ≈ 5600 $ mensili.

Caso 3: 1000 utenti, azienda manifatturiera, bassa latenza a MES

Obiettivo: accesso a app interne data center con latenza minima. Pilota: cloud con nodi vicini a fabbriche prestazioni ok, ma egress full tunnel per parte utenti fa crescere conto. Risultato: on-prem con linee DIA e spazio già pagati abbassa TCO a 11 $ per utente. Scelta: on-prem con WireGuard e IKEv2 per S2S, modello ibrido per staff mobile.

FAQ: domande approfondite

1. Si può calcolare il TCO ignorando downtime e rischi sicurezza?

Tecnico sì, ma punto di vista sbagliato: downtime nelle ore di punta può annullare il risparmio annuo di un’opzione più economica. Include almeno due scenari rischio con probabilità e danno stimati.

2. Quanto incide la scelta del protocollo sul TCO?

Molto. WireGuard consente stessi carichi con meno core CPU, riducendo costo nodi e consumi. A 500+ utenti si può risparmiare il 20–30% in computing.

3. Lo split tunnel è sicuro per le aziende?

Sì, se applicate corrette policy di routing, MFA obbligatorio, controllo dispositivi (MDM/EDR) e ispezione solo su traffico corporate. Full tunnel serve per ruoli privilegiati, admin e contesti di compliance stringente.

4. Cosa pesa di più nel TCO cloud: compute o egress?

Fino a 500 utenti compute e FTE dominano. Oltre, con full tunnel, egress è paragonabile o superiore, soprattutto senza sconti o routing SaaS diretto.

5. Quando on-prem vince sicuramente?

Se si hanno linee DIA e spazio già pagati, esperti interni e aumento carico sotto 0,2–0,3 FTE. Inoltre se compliance richiede moduli hardware e isolamento rigoroso.

6. Come stimare numero nodi necessari?

Parti da picco Mbps e utilizzo target per nodo (max 60–70%), moltiplica per fattore HA. Testa in pilota e aggiungi 20% per burst.

7. Che ruolo ha IPv6?

IPv6 supporta stabilità e prestazioni in reti mobili ma complica routing e policy. Assicurati client/server supportino correttamente e SIEM/ACL gestiscano dual-stack.

8. Come considerare licenze VPN commerciali?

Contale come costo aggiuntivo per utente/mese e confronta con costi open source più supporto. Spesso giustificate da compatibilità e migliore telemetria.

9. Si possono usare più protocolli insieme?

Sì, è normale. WireGuard di default, OpenVPN per compatibilità, IKEv2 per S2S e alcuni client mobili. Riporta le percentuali nel calcolatore TCO.

10. Come capire se paghi troppo per egress?

Guarda GB per utente al mese. Se in full tunnel supera 80–100 GB senza ragioni, verifica routing SaaS e caching, implementa split per app non critiche.

Conclusione: sintesi e prossimi passi

Il costo di possesso di un VPN aziendale dipende non dal brand vendor ma da architettura, protocollo e maturità operativa. Su 36 mesi, soluzioni cloud con split tunnel sono più economiche di on-prem fino a 1000 utenti per minore quota FTE e assenza di CAPEX. Il full tunnel cloud richiede disciplina su egress e routing SaaS o il TCO cresce rapidamente. On-prem è vantaggioso con linee già pagate e team interno esperto, o con requisiti rigorosi di isolamento. La strada migliore è testare ipotesi con un pilota, raccogliere metriche e definire TCO in produzione con SLA chiari e processi. I tuoi prossimi passi: 1) in 1–2 settimane crea un pilota, misura concurrency, capacità picco ed egress reale; 2) costruisci calcolatore TCO con il framework della guida; 3) scegli split di default, WireGuard come protocollo base e HA come requisito; 4) pianifica ottimizzazioni con automazione, monitoraggio e geografia nodi ragionata. Così otterrai budget prevedibile, rischi gestiti e una user experience stabile; il VPN smetterà di essere una scatola nera diventando uno strumento chiaro nel costo e nel valore.