直接答案：按 2026-11-09 的官方 list price（美元，不含税/折扣），三家云防火墙的计费模型完全不同：Azure Firewall Basic 0.395/小时 + 0.065/GB、Standard 1.25/小时 + 0.016/GB、Premium 1.75/小时 + 0.016/GB；AWS Network Firewall 主 endpoint 0.395/小时 + 0.065/GB，同区域同 AZ 的 secondary endpoint 0.158/小时，data processing 只对主 endpoint 收；GCP Cloud NGFW Essentials 免费、Standard 仅 0.0193/GiB（按评估流量）、Enterprise 1.75/endpoint·小时 + 0.0193/GiB。按 1 个 endpoint、730 小时/月、1 TB/月流量：Azure Basic 约 354.91/月、Azure Standard 约 928.88、AWS 单 endpoint 约 354.91、AWS 主+备约 470.25、GCP Standard 约 19.76、GCP Enterprise 约 1,297.26。100 TB/月时：Azure Basic 约 6,944.35、Azure Standard 约 2,550.90、AWS 单 endpoint 约 6,944.35、GCP Standard 约 1,976.32、GCP Enterprise 约 3,253.82。
本文面向云网络、安全、SRE 和采购团队，比较 Azure Firewall、AWS Network Firewall、GCP Cloud NGFW 的计费单位、1TB/100TB 的 TCO、Basic/Standard/Premium 与 Essentials/Standard/Enterprise 的层级差异、HA/secondary endpoint、隐藏成本和 90 天落地清单。价格来自三家官方定价页与 Azure Retail Prices API（均于 2026-11-09 访问）。本文把“官方价格事实”“编辑测算”和“未纳入项”分开写，不构成采购建议。
① 先看计费形态：Azure/AWS 是“endpoint 小时费 + GB”，GCP Standard 是“纯按 GiB 评估”；低流量时 GCP Standard 极便宜，高流量时 Azure Standard 的 0.016/GB 可能反超。② 层级要对齐：Azure Basic/AWS 基础层和 GCP Standard 的功能并不完全等价；L7/IDPS/TLS 检查通常要 Azure Premium、AWS Advanced Inspection、GCP Enterprise。③ HA 不是免费：AWS secondary endpoint、Azure 第二个 deployment、GCP 第二个 endpoint 都会加钱，data processing 的计费方向/次数也要核对。
计费模型：endpoint 小时 vs 按 GiB 评估
Azure Firewall 按“每个 firewall deployment 的小时费 + 处理的 GB”计费，Basic/Standard/Premium 三档小时费与 GB 单价不同；Firewall Policy、Capacity Unit、Premium 的 IDPS/恶意软件/DLP 等另计。AWS Network Firewall 按“每个 AZ 的 endpoint 小时费 + 处理的 GB”计费，主 endpoint 0.395/小时，同区域同 AZ 的 secondary endpoint 0.158/小时，secondary 不收 data processing；Advanced Inspection（TLS）和 Active Threat Defense 另计。GCP Cloud NGFW 分 Essentials（免费，L3/L4）、Standard（按评估 GiB 0.0193，含 FQDN/威胁情报）、Enterprise（endpoint 1.75/小时 + 0.0193/GiB，含 L7 IDPS/URL 过滤）；层级化防火墙策略按 VM/月另计。
| 项目 | Azure Firewall | AWS Network Firewall | GCP Cloud NGFW |
|---|---|---|---|
| 计费单位 | deployment 小时 + GB processed | endpoint 小时（按 AZ）+ GB processed | Standard：GiB evaluated；Enterprise：endpoint 小时 + GiB |
| 入门层 | Basic 0.395/h + 0.065/GB | 主 endpoint 0.395/h + 0.065/GB | Essentials 免费（L3/L4） |
| 标准层 | Standard 1.25/h + 0.016/GB | 无独立“标准层”，按 endpoint + 数据 | Standard 0.0193/GiB（无 endpoint 费） |
| 高级层 | Premium 1.75/h + 0.016/GB + 附加项 | Advanced Inspection / Threat Defense 另计 | Enterprise 1.75/h + 0.0193/GiB |
| HA/多 AZ | 第二个 deployment 另计 | secondary endpoint 0.158/h | 第二个 endpoint 另计 |
来源：Azure Firewall 定价页与 Azure Retail Prices API（eastus，2026-11-09）、AWS Network Firewall 定价页、Google Cloud NGFW 定价页（2026-11-09）。表中为编辑整理；区域/币种/功能/折扣以官方页面为准。
单价：三家官方 list price
Azure（eastus）：Basic 0.395/h + 0.065/GB；Standard 1.25/h + 0.016/GB；Premium 1.75/h + 0.016/GB；Standard/Premium 可选 Capacity Unit（0.07/0.11 每 CU·小时）；Firewall Policy 100/区域·月。AWS（US East）：主 endpoint 0.395/h、secondary 0.158/h、data 0.065/GB；Advanced Inspection/Threat Defense 另计。GCP：Essentials 0；Standard 0.0193/GiB；Enterprise 1.75/endpoint·h + 0.0193/GiB；层级策略约 1/1.5 美元/VM·月（500 属性以内/以上）。
| 计费项 | 单价（USD） | 说明 |
|---|---|---|
| Azure Basic | 0.395/h + 0.065/GB | 入门层，适合中小流量 |
| Azure Standard | 1.25/h + 0.016/GB | L7/FQDN/威胁情报等；CU 可选 |
| Azure Premium | 1.75/h + 0.016/GB | IDPS/TLS/URL/恶意软件/DLP 等附加项另计 |
| AWS 主 endpoint | 0.395/h | 按 AZ；data 0.065/GB |
| AWS secondary endpoint | 0.158/h | 同区域同 AZ；不收 data processing |
| GCP Standard | 0.0193/GiB | 无 endpoint 费；按评估流量 |
| GCP Enterprise | 1.75/h + 0.0193/GiB | L7 IDPS/URL 过滤；按 endpoint |
| GCP 层级策略 | 约 1 / 1.5 每 VM·月 | 按策略属性数；730 小时折算 |
来源：Azure Retail Prices API（eastus，2026-11-09）、AWS Network Firewall 定价页（US East）、Google Cloud NGFW 定价页（2026-11-09）。月价按 730 小时/30 天折算；未计税/折扣/日志/存储。
TCO：1 TB/月 与 100 TB/月
按 1 个 endpoint、730 小时/月、1 TB=1,024 GB/GiB 估算：1 TB/月时，Azure Basic 288.35 + 66.56 = 354.91；Azure Standard 912.50 + 16.38 = 928.88；Azure Premium 1,277.50 + 16.38 = 1,293.88；AWS 单 endpoint 288.35 + 66.56 = 354.91；AWS 主+备 288.35 + 115.34 + 66.56 = 470.25；GCP Standard 1,024×0.0193 = 19.76；GCP Enterprise 1,277.50 + 19.76 = 1,297.26。100 TB/月时，Azure Basic 约 6,944.35、Azure Standard 约 2,550.90、Azure Premium 约 2,915.90、AWS 单 endpoint 约 6,944.35、AWS 主+备约 7,059.69、GCP Standard 约 1,976.32、GCP Enterprise 约 3,253.82。
| 方案（1 endpoint） | 1 TB/月 | 100 TB/月 |
|---|---|---|
| Azure Basic | 354.91 | 6,944.35 |
| Azure Standard | 928.88 | 2,550.90 |
| Azure Premium | 1,293.88 | 2,915.90 |
| AWS 单 endpoint | 354.91 | 6,944.35 |
| AWS 主 + 备 | 470.25 | 7,059.69 |
| GCP Standard | 19.76 | 1,976.32 |
| GCP Enterprise | 1,297.26 | 3,253.82 |
编辑测算：小时费×730；GB/GiB 按 1 TB=1,024 计；AWS 主+备=0.395+0.158 小时费 + 主 endpoint data；GCP 按评估流量。未计日志、存储、TLS/IDPS 附加项、税和折扣；GCP 双向评估可能使实际 GB 更高。
盈亏平衡与 HA：什么时候换层/换云
Azure Basic vs Standard（也适用于 AWS 主 endpoint vs Azure Standard）的盈亏平衡 =（1.25−0.395）×730 ÷（0.065−0.016）≈ 12,738 GB ≈ 12.4 TB/月：低于 12.4 TB/月，Basic/AWS 的“低小时费+高 GB”更省；高于则 Standard 的“高小时费+低 GB”更省。GCP Standard vs Azure Standard：GCP 无小时费、每 GiB 0.0193；Azure 固定 912.50/月、每 GB 0.016，盈亏平衡 = 912.50 ÷（0.0193−0.016）≈ 276,515 GB ≈ 270 TB/月：低于约 270 TB/月，GCP Standard 更省；高于则 Azure Standard 可能反超。GCP Enterprise vs Standard 固定多 1,277.50/月（1 endpoint），只有需要 L7/IDPS/URL 时才值。
| 对比 | 公式 | 结论 |
|---|---|---|
| Azure Basic vs Standard | (1.25−0.395)×730 ÷ (0.065−0.016) | < 约 12.4 TB/月选 Basic；以上选 Standard |
| AWS 单 endpoint vs Azure Standard | 同上（0.395/0.065 vs 1.25/0.016） | < 约 12.4 TB/月 AWS 更省；以上 Azure Standard |
| GCP Standard vs Azure Standard | 912.50 ÷ (0.0193−0.016) | < 约 270 TB/月 GCP；以上 Azure |
| GCP Enterprise vs Standard | +1,277.50/月（1 endpoint） | 仅在需要 L7/IDPS/URL 时选 Enterprise |
| AWS 主 + 备 | +0.158×730 ≈ +115.34/月 | HA 成本；secondary 不收 data |
编辑测算：按 730 小时/月、GB/GiB 同价换算；未计日志/存储/附加项/税/折扣；GCP 双向评估和区域差异会改变结果。
隐藏成本：小时费之外的七项
常见附加项：Azure Firewall Policy（100/区域·月）、Capacity Unit（Standard 0.07、Premium 0.11/CU·h）、Premium 附加项（恶意软件 2.26/100K 请求、应用威胁 0.30/100K、DLP 0.17/GB、AI Security 1/小时）、AWS Advanced Inspection/Threat Defense（TLS/主动威胁防御另计）、AWS secondary endpoint（0.158/h）、GCP Enterprise endpoint（1.75/h）与层级策略（约 1/1.5 美元/VM·月）、日志/存储/洞察（Firewall Logs、Flow Logs、SIEM 存储另计）。这些项在大规模/多 AZ/多 VPC 场景会显著改变 TCO。
| 成本项 | 触发 | 控制 |
|---|---|---|
| Firewall Policy | Azure 策略/多订阅 | 集中策略、按区域合并 |
| Capacity Unit | 预留吞吐 | 按峰值需要开启，避免长期闲置 |
| Premium 附加项 | IDPS/恶意软件/DLP/AI | 按业务分级启用 |
| AWS 高级检查 | TLS/主动威胁防御 | 只对必要流量启用 |
| Secondary endpoint | 多 AZ/多 VPC | 按 HA 需求选，不盲目多 AZ |
| GCP Enterprise/策略 | L7/层级策略 | 按需升级，按 VM 数评估 |
| 日志/存储/洞察 | Flow/Firewall Logs | 按保留期/采样控制 |
来源：三家定价页与 Azure Retail API（2026-11-09）。表中为编辑整理；具体计费/可用性以官方页面与账单为准。
层级与选型：功能对齐比单价更重要
三家层级不是一一对应：Azure Basic 偏入门/L3-L4，Standard 增加 L7/FQDN/威胁情报，Premium 增加 IDPS/TLS/URL/恶意软件/DLP；AWS Network Firewall 以 stateful/stateless、IDS/IPS、TLS inspection、Active Threat Defense 组织，Advanced Inspection/Threat Defense 另计；GCP Essentials 免费（L3/L4）、Standard 加 FQDN/威胁情报、Enterprise 加 L7 IDPS/URL。选型先定需求（L4 还是 L7、是否需要 TLS/IDPS、是否多 AZ/多 VPC、是否跨云），再比同层价格；不要用 GCP Standard 的 0.0193/GiB 直接对比 Azure Premium 的 1.75/h。
| 场景 | 优先 | 先核对 |
|---|---|---|
| 低流量/L3-L4/预算敏感 | GCP Essentials/Standard、Azure Basic、AWS 单 endpoint | 流量方向、功能缺口 |
| 1–10 TB/月、需要 L7/FQDN | Azure Standard、GCP Standard | GB 单价、日志 |
| 高流量（>12.4 TB/月） | Azure Standard（0.016/GB） | 实际 GB、区域 |
| L7/IDPS/TLS/URL 过滤 | Azure Premium、AWS Advanced、GCP Enterprise | 附加项小时/请求费 |
| 多 AZ/多 VPC/HA | AWS secondary、Azure 双 deployment、GCP 双 endpoint | secondary/HA 计费 |
| 已有云生态/合规 | 同云托管防火墙 | 迁移/运维/审计成本 |
编辑整理的选择框架，不是厂商推荐；功能/合规/区域可用性以官方文档与业务要求为准。
90 天落地清单
先用 90 天做“流量基线 → 功能需求 → 同层比价 → 试点 → 切换 → 复盘”。第 1–2 周拉南北/东西向流量、峰值、AZ/VPC 数量和现有规则；第 2–4 周定 L4/L7、TLS/IDPS、日志保留和 HA 需求；第 4–6 周按同层功能向三家询价，算 1TB/100TB 和 HA 场景；第 6–8 周做试点/规则迁移/性能测试；第 8–10 周切换、验证故障转移和日志；第 10–12 周成本复盘、规则清理、续约。不要只比较小时费或每 GB。
常见问题
Azure Firewall 怎么计费？
每个 deployment 的小时费 + 处理的 GB。Basic 0.395/h + 0.065/GB；Standard 1.25/h + 0.016/GB；Premium 1.75/h + 0.016/GB；另有 Firewall Policy、Capacity Unit、Premium 附加项。
AWS Network Firewall 怎么计费？
每个 AZ 的 endpoint 小时费 + 处理的 GB。主 endpoint 0.395/h、secondary 0.158/h，data 0.065/GB；secondary 不收 data processing；Advanced Inspection/Threat Defense 另计。
GCP Cloud NGFW 怎么计费？
Essentials 免费；Standard 0.0193/GiB（按评估流量，无 endpoint 费）；Enterprise 1.75/endpoint·h + 0.0193/GiB；层级化策略约 1/1.5 美元/VM·月。
1 TB/月大概多少钱？
编辑测算：Azure Basic/AWS 单 endpoint 约 354.91/月；Azure Standard 约 928.88；GCP Standard 约 19.76；GCP Enterprise 约 1,297.26；AWS 主+备约 470.25。不含日志/附加项/税。
100 TB/月呢？
Azure Basic/AWS 单 endpoint 约 6,944.35；Azure Standard 约 2,550.90；GCP Standard 约 1,976.32；GCP Enterprise 约 3,253.82；AWS 主+备约 7,059.69。高流量时 GB 单价主导。
什么时候 Basic 比 Standard 便宜？
按 Azure 价格，低于约 12.4 TB/月时 Basic 的“低小时费+高 GB”更省；高于 12.4 TB/月，Standard 的 0.016/GB 更省。AWS 单 endpoint 与 Azure Standard 的盈亏平衡相同。
HA 要花多少？
AWS secondary endpoint +0.158/h（约 115.34/月），不收 data；Azure 通常需要第二个 deployment；GCP Enterprise 第二个 endpoint 另计。HA 成本要按 AZ/区域数量乘。
能直接比每 GB 单价吗？
不能。GCP Standard 无 endpoint 费但功能层不同；Azure/AWS 有小时费；L7/IDPS/TLS 附加项也不同。先对齐功能层，再比同流量/同 HA 的总价。
研究方法与局限
本文把“官方价格事实”和“编辑测算”分开：Azure Basic/Standard/Premium、Firewall Policy、Capacity Unit、Premium 附加项来自 Azure Firewall 定价页与 Azure Retail Prices API（eastus，2026-11-09）；AWS 主/备 endpoint、data、Advanced Inspection/Threat Defense 来自 AWS Network Firewall 定价页（US East）；GCP Essentials/Standard/Enterprise、层级策略来自 Google Cloud NGFW 定价页（2026-11-09）。TCO、盈亏平衡、隐藏成本和 90 天清单为编辑测算/建议。
局限有八个：① 只取公开 list price，不含税/折扣/承诺用量；② 只取美东/美国区域；③ 按 730 小时/月、1 TB=1,024 GB/GiB；④ 只算 1 个 endpoint，HA 另乘；⑤ 未计日志/存储/洞察/SIEM、TLS/IDPS 全部附加组合；⑥ 未做真实吞吐/延迟/故障切换压测；⑦ GCP 双向评估、AWS 多 AZ data 计费可能使实际用量高于假设；⑧ 价格/功能会变，采购前应复核官方页面与账单。
数据来源与口径
- Microsoft Azure, Azure Firewall Pricing：azure.microsoft.com/en-us/pricing/details/azure-firewall。Basic/Standard/Premium、data、policy、capacity unit、附加项。访问 2026-11-09。
- Azure Retail Prices API（productName 含 Firewall，eastus）：prices.azure.com/api/retail/prices。0.395/1.25/1.75、0.065/0.016、policy 100/月。访问 2026-11-09。
- AWS, Network Firewall Pricing：aws.amazon.com/network-firewall/pricing。主/备 endpoint、data、Advanced Inspection/Threat Defense。访问 2026-11-09。
- Google Cloud, Cloud NGFW Pricing：cloud.google.com/firewall/pricing。Essentials/Standard/Enterprise、层级策略。访问 2026-11-09。
资料截止 2026-11-09；价格/可用性以 Azure/AWS/Google 官方页面与账单为准；本文不构成采购、商务或法律建议。