Pięć licencji VPN kupionych, dysk w biurze nadal nieosiągalny. Jedno słowo nazywa trzy różne produkty

Pięć licencji wykupionych, aplikacja na laptopach zainstalowana, ikona świeci na zielono — i udostępniony folder na serwerze w biurze nadal nie odpowiada. Nic się nie zepsuło. Kupiony produkt wyprowadza ruch pracownika do internetu przez bramy dostawcy i o istnieniu Waszej sieci lokalnej nie wie nic. Pod jednym słowem „VPN” sprzedaje się trzy różne rzeczy, a cennik, który porównywaliście, dotyczył innej z nich niż problem, który mieliście rozwiązać.

Który z trzech problemów faktycznie masz?

Decyzja zaczyna się od objawu, nie od nazwy produktu. Objawy prowadzą do różnych klas narzędzi, a dwa z nich wykluczają się cenowo.

Jeśli zaznaczasz dwa wiersze, kupujesz dwie rzeczy albo jedną z płatnym dodatkiem. Tego nie obejdzie żaden wybór planu.

Dlaczego abonament „do prywatności” nie wpuści Cię na firmowy dysk?

Różnica siedzi w tym, co produkt ogłasza jako trasę. Węzeł wyjściowy przepuszcza przez siebie ruch do internetu. Router podsieci robi coś innego: udostępnia dostęp do konkretnych prywatnych podsieci i nie zmienia routingu ruchu internetowego (dokumentacja Tailscale, sprawdzono 23 października 2026 r.). Abonament konsumencki oferuje pierwsze, a Ty potrzebujesz drugiego.

Rzecz, która przy tym wyborze decyduje o wykonalności: urządzenia stojące za routerem podsieci nie wymagają instalacji klienta i nie wliczają się do limitu urządzeń w planie. To odpowiedź na pytanie, co zrobić z drukarką, kamerą albo macierzą, na których nie zainstalujesz niczego. Wystarczy jedna maszyna w biurze, która ogłosi trasę.

Trzy warunki, o które trzeba zapytać na wdrożeniu, bo każdy z nich bywa pominięty: na Linuksie wymagane jest przekazywanie pakietów (IP forwarding), trasa musi zostać zatwierdzona w panelu administracyjnym, a sama trasa to jeszcze nie dostęp — o tym, który ruch jest dozwolony, decydują osobne reguły dostępu. Konfiguracja, która kończy się na ogłoszeniu trasy, daje połączenie bez uprawnień i wygląda wtedy dokładnie jak awaria.

Kiedy potrzebny jest stały adres wyjściowy i ile on kosztuje?

To pozycja, która najczęściej wywraca budżet policzony „na osobę”. W NordLayerze plany Core i Premium wymagają dokupienia serwera z dedykowanym adresem IP za 40 USD miesięcznie (cennik producenta, sprawdzono 23 października 2026 r.). U Protona plan Professional również nie działa bez tego dodatku: wymagany jest co najmniej jeden serwer dedykowany w cenie 39,99 USD miesięcznie, a adresy na nim są statyczne i zastrzeżone dla Twojej organizacji (sprawdzono 23 października 2026 r.).

Przy pięciu osobach ten jeden wiersz cennika waży więcej niż wszystkie miejsca razem. Dlatego pytanie „czy ktokolwiek wpisuje nasz adres na listę dozwolonych” zadaje się przed wyborem planu, a nie po. Jeśli odpowiedź brzmi „nie”, płacenie za dedykowany serwer jest kupowaniem funkcji, której nikt nie użyje.

Ile miejsc zapłacisz, mając pięć osób?

Cenniki różnią się nie stawką, a tym, od czego liczą. NordLayer startuje od minimum 5 użytkowników, ze stawkami 8 USD w planie Lite, 11 USD w Core i 14 USD w Premium za użytkownika miesięcznie, przy 6 urządzeniach na licencję i podatkach doliczanych osobno. Tailscale liczy miejsca: plan Standard kosztuje 8 USD za użytkownika miesięcznie przy nieograniczonej liczbie urządzeń, a w cenie jest 50 zasobów oznaczonych tagiem, każdy kolejny po 1 USD miesięcznie (oba cenniki sprawdzono 23 października 2026 r.).

Wszystkie stawki są w dolarach i bez podatku, więc kwota na wyciągu będzie inna niż w tabeli. Przelicznik sprawdzisz u siebie — zależy od dnia obciążenia karty i od tego, czy sprzedawca przyjmuje NIP.

Co jeszcze dochodzi do rachunku poza miejscami?

Trzy pozycje nie mieszczą się w stawce za osobę. Pierwsza to limit urządzeń: NordLayer pozwala logować się z 6 urządzeń na jedną licencję użytkownika, w każdym planie, a Tailscale nie ogranicza liczby urządzeń na żadnym planie i liczy wyłącznie miejsca (oba cenniki sprawdzono 23 października 2026 r.). Przy pracowniku z laptopem, telefonem i komputerem domowym różnica jest obojętna. Przestaje być, gdy do sieci wchodzą maszyny wirtualne i serwery, bo każda z nich zajmuje slot urządzenia.

Druga to dodatki rozliczane od urządzenia, nie od osoby. NordLayer wycenia ochronę stacji roboczej na 2 USD za urządzenie miesięcznie w wariancie Falcon Go i 9 USD w wariancie Falcon Enterprise. Przy dwudziestu urządzeniach drugi z tych dodatków staje się większą pozycją niż sam dostęp zdalny.

Trzecia to progi, od których cennik przestaje Was dotyczyć. Najniższa stawka w ofercie tego dostawcy, od 6 USD, obowiązuje w ofercie Enterprise od 200 użytkowników, więc w pięcioosobowej firmie nie jest punktem odniesienia. Brama Virtual Private Gateway jest z kolei niedostępna w planie Lite — najtańszy wiersz tabeli odpada, jeśli potrzebujesz własnego punktu wyjścia.

Co dzieje się z miejscem, gdy ktoś odchodzi z firmy?

Reguła, która zaskakuje przy pierwszej fakturze po rotacji w zespole. W modelu miejsc Tailscale miejsce zajmuje się przy pierwszym logowaniu do panelu lub pierwszym uwierzytelnieniu urządzenia, a zwalnia dopiero wtedy, gdy użytkownik opuści sieć albo jego konto zostanie usunięte lub zawieszone u dostawcy tożsamości — samo usunięcie urządzeń miejsca nie zwalnia. Producent podaje też, że płaci się za wszystkie miejsca, również wolne, a liczby miejsc nie da się zmniejszyć poniżej liczby zajętych (sprawdzono 23 października 2026 r.).

Operacyjnie znaczy to jedno: odejście pracownika zamyka się w systemie tożsamości, nie w panelu VPN-a przez wyrzucenie laptopa z listy. Jeśli procedura offboardingu kończy się na „usunęliśmy jego urządzenia”, osoba straci dostęp, a Wy będziecie płacić za jej miejsce do końca okresu rozliczeniowego.

Czy plan darmowy wolno wykorzystać w firmie?

Darmowy plan Tailscale przyjmuje do 6 użytkowników przy nieograniczonej liczbie urządzeń, ale jest przeznaczony do użytku niekomercyjnego (sprawdzono 23 października 2026 r.). Dla pięcioosobowej firmy nie jest to więc tańszy wariant tego samego produktu, tylko inny tytuł prawny do korzystania — i to rozstrzyga sprawę, niezależnie od tego, że technicznie zadziałałby.

Realnie bezpłatny pozostaje jeden wariant: oprogramowanie na własnym serwerze. Komponenty jądrowe WireGuarda są na licencji GPLv2, tej samej co Linux, więc opłaty licencyjnej nie ma w ogóle. Koszt przenosi się w całości na czas człowieka.

Co kupujesz, stawiając WireGuard samemu?

Protokół działa wewnątrz jądra Linuksa, kapsułkuje pakiety IP w UDP, a uwierzytelnianie opiera na kluczach publicznych — peery wymieniają się kluczami podobnie jak w SSH. Ma też wbudowany roaming z pełną zmianą adresu IP po obu stronach połączenia, co w praktyce znaczy, że przejście z Wi-Fi na transmisję komórkową nie zrywa tunelu.

Zdanie, które decyduje o nakładzie pracy, brzmi inaczej: dystrybucja kluczy leży poza zakresem WireGuarda. Protokół nie ma pojęcia użytkownika, grupy ani odebrania dostępu. Wszystko, co w abonamencie jest ekranem z listą osób, tutaj jest Twoim procesem: wygenerowanie klucza, wpisanie go na serwerze, wycofanie po odejściu kogoś z firmy, odtworzenie konfiguracji po awarii maszyny. Warstwę zarządzania da się dodać — polski poradnik techniczny wskazuje Headscale jako otwartą implementację koordynacji dającą podobne zarządzanie przy pełnej kontroli nad danymi — ale to kolejna usługa do utrzymania, nie skrót.

Ta droga ma sens, gdy masz kogoś, kto odbierze telefon w poniedziałek rano. Jednoosobowa działalność i mikrozespół bez administratora kupują wtedy nie oszczędność, a dyżur. Jeśli właśnie porządkujesz zestaw narzędzi wokół własnej działalności, geekwork.pl prowadzi program dla freelancerów układających ofertę i warsztat pracy z AI, w którym ten typ decyzji — kupić gotowe czy utrzymywać samemu — wraca przy każdym kolejnym narzędziu.

Czego sprawdzić na koncie testowym, zanim podpiszesz

Każdą pozycję zweryfikujesz w trialu, bez rozmowy z handlowcem:

• Czy z komputera w domu widzisz adres urządzenia w biurowej podsieci, a nie tylko internet przez bramę dostawcy.
• Czy dostęp da się ograniczyć do jednej usługi i jednego portu, czy wpuszcza do całej sieci.
• Jaki adres widzi serwer docelowy i czy ten adres jest stały po ponownym połączeniu.
• Ile miejsc policzy się po podłączeniu drugiego i trzeciego urządzenia tej samej osoby.
• Co dokładnie trzeba zrobić, żeby odebrać dostęp osobie odchodzącej, i czy zwalnia to opłacane miejsce.
• Czy urządzenia bez klienta (drukarka, rejestrator, macierz) wchodzą przez router podsieci i czy ktoś musi je zatwierdzić.
• Czy cena na fakturze obejmuje dedykowany serwer, jeśli ktokolwiek wpisuje Wasz adres na listę dozwolonych.

Zanim porównasz cenniki, zapisz jedno zdanie: kto, z czym i skąd ma się połączyć. Jeśli w zdaniu jest nazwa urządzenia stojącego w biurze, abonament konsumencki wypada z gry niezależnie od ceny. Jeśli jest w nim nazwa systemu, który wpuszcza z jednego adresu, licz od dedykowanego serwera, a stawkę za osobę traktuj jako dodatek. A jeśli tego zdania nie da się napisać, odłóż zakup — pięć licencji nieużywanych przez kwartał kosztuje dokładnie tyle samo, co pięć używanych.