Self-hosted-альтернативы RMM вместо оплаты за каждое устройство

С self-hosted RMM обычно приходят два допущения, и оба ошибочны, причём в противоположные стороны. Первое — что удалённый мониторинг и управление оплачиваются за каждое устройство, поэтому счёт растёт вместе с парком независимо от того, растёт ли объём работы. Второе — что перенос плоскости управления внутрь компании этот расход удаляет. На деле категория тарифицируется по трём разным осям, из которых только одна — за устройство, а self-hosting расход не убирает, а переносит его в строку, которую никто не выставляет в счёт: ваши собственные часы. Плата за устройство растёт по оси, которую вы не контролируете, потому что сколько машин существует, решают ваши клиенты, а не объём работы, который эти машины создают. Self-hosted-сервер растёт по оси, которую вы контролируете, и взамен вешает на вас обязанность по сопровождению и контракт на поддержку, которого у вас больше нет.

Некоторые контракты делают коммерческий вариант правильным независимо от арифметики: SLA, за который вы не можете лично поручиться в три часа ночи, — это продукт, который вы покупаете, и self-hosting даёт его только там, где сам проект продаёт уровень поддержки. Тариф за техника уже обходит обе альтернативы в широком диапазоне размеров парка.

Кратко (TL;DR)

• Категория не тарифицируется единообразно за устройство. NinjaOne берёт плату за устройство; Syncro и Atera — за место техника с неограниченным числом устройств; ConnectWise, Datto RMM и N-able базовую цену платформы не публикуют и отправляют покупателей за коммерческим предложением.
• Для небольшой компании с высоким соотношением устройств на техника платформа с оплатой за техника может обойти и тариф за устройство, и модель self-hosting Tactical RMM из этой статьи. Проверьте это, прежде чем что-либо разворачивать.
• В модели затрат Tactical RMM из этой статьи self-hosting ниже примерно 400 устройств обычно дороже платформы с оплатой за техника. Около третьего места техника он начинает становиться конкурентоспособным, но точная точка пересечения сдвигается вместе с вашей почасовой ставкой, уровнем спонсорства, размером сервера и соотношением устройств на техника.
• Tactical RMM — не open source. Он поставляется под собственной лицензией, не одобренной OSI, с ограничениями на SaaS, managed hosting и иное коммерческое использование в качестве услуги. MeshCentral распространяется под Apache-2.0, ядро NetLock RMM — под AGPL-3.0.
• RMM-сервер — это доверенный путь удалённого выполнения кода на каждой машине, где работает его агент. Self-hosting эту уязвимость не создаёт; он перекладывает установку исправлений на вас.

Как коммерческие RMM тарифицируют устройства

Опубликованные тарифы NinjaOne за устройство варьируются от 1,50 $ за устройство в месяц при 10 000 устройств до 3,75 $ при 50 и меньше. Прочитайте эту кривую с малого конца, и проблема очевидна: скидка за объём работает в пользу масштаба, так что компания с наименьшим числом машин платит самую высокую ставку за каждую, по счёту, который растёт всякий раз, когда клиент покупает ноутбук.

Syncro тарифицирует по совсем другой оси: 129 $ за пользователя в месяц на плане Core при годовой оплате, 179 $ на Team, и каждый план включает неограниченное число устройств на техника. Atera использует ту же схему и прямо объясняет почему. При модели с оплатой за техника стоимость остаётся прежней независимо от того, сколько устройств вы добавляете.

Есть и третья группа. Сколько стоит ConnectWise RMM? Страница ведёт к цене через форму запроса со списком пакетов и функций без единой цифры, а страница продукта Datto RMM подробно описывает платформу, нигде не называя цену. N-able продвигает N-sight тем же способом, а Kaseya даёт цену VSA по запросу. Это утверждение о содержании страниц, а не о намерениях, но у него есть цена. Чтобы получить цифру, нужны звонки с продавцами, а эти часы — ваши.

Следствие важнее любой отдельной ставки. Платформа с оплатой за техника полностью перестаёт расти вместе с парком. Компания из двух человек с 350 машинами платит столько же, сколько компания из двух человек с 90, и при высоком соотношении устройств на техника эта модель уже дешевле и тарифа за устройство, и собственного сервера.

Self-hosted-платформы и что разрешают их лицензии

В этом разговоре всплывают четыре платформы под четырьмя по-настоящему разными лицензиями, а не четыре варианта одной. «Open source RMM» — это фраза, которая объединяет все четыре, и она обещает больше, чем может выдержать. Они различаются и тем, сколько в них RMM и какого сервера они требуют, а разница в лицензиях имеет договорные последствия для любого, кто продаёт управляемые услуги.

Tactical RMM

Tactical RMM — самая полная из четырёх: управление исправлениями, скрипты, оповещения и проверки, а удалённое управление обеспечивает встроенный экземпляр MeshCentral. Текущий релиз — v1.5.2, чей changelog фиксирует исправление утечки памяти при обработке проверок политик и задач, а также обновление встроенного MeshCentral до 1.2.4. Собственный слой удалённого управления находится в разработке.

С лицензией нужна осторожность. Tactical RMM поставляется под собственной «Tactical RMM License v1.0», текст которой открывается заявлением, что это не лицензия open source. Она даёт бесплатное право на мониторинг и управление своими сетями или сетями ваших клиентов и запрещает предлагать функциональность ПО как часть SaaS-продукта, услуги managed hosting или любой другой коммерческой услуги без разрешения лицензиара. В этом разница между source-available (можно читать и запускать на условиях автора) и open source (одобренная OSI лицензия с неограниченным коммерческим распространением). Лицензия прямо разрешает размещать и использовать Tactical RMM для мониторинга и управления сетями клиентов. Отдельно она вводит широкие ограничения на предоставление функциональности ПО в составе коммерческих или платных услуг и требует предварительного письменного разрешения на коммерческое использование или использование в платных услугах. Если ваша модель MSP зависит от того, где проходит эта граница, получите письменное разъяснение от AmidaWare, а не полагайтесь на редакционную трактовку.

Есть и денежная строка, опубликованная полностью. Подписанные кодом агенты для Windows, агенты для Linux и macOS как таковые, единый вход и модуль Reporting — всё это доступно только на спонсорском уровне. Уровень 1 за 55 $ в месяц — минимум для подписанных агентов на любой платформе; Reporting начинается с уровня 2, 80 $. Уровни выше рекомендуются по размеру парка (уровень 4 за 155 $ при менее чем 1 000 агентов), а начиная с уровня 3 к ним прилагается заявленное время ответа по электронной почте. Неподписанные агенты — проблема поддержки на любом серьёзном парке Windows, так что в масштабе спонсорский уровень — это статья затрат, а не опция.

MeshCentral

MeshCentral — не полноценный RMM, но разрыв уже, чем кажется. Он поддерживает удалённое управление, инвентаризацию устройств, доступ к терминалу и файлам, выполнение команд и скриптов, а также уведомления об устройствах и сессиях. Чего в нём нет — так это полного RMM-процесса вокруг этих примитивов: основные пробелы — встроенные процессы управления исправлениями и встроенная автоматизация политик по расписанию.

Именно из-за этого пробела поверх него и был построен Tactical RMM. Внедрять MeshCentral в расчёте заменить NinjaOne — значит получить разочарование, никак не связанное с качеством ПО (слоёв управления исправлениями и автоматизации политик в комплекте нет, хотя выполнение команд и скриптов есть).

NetLock RMM

NetLock RMM — open core, а не полностью открытый проект, и авторы говорят об этом прямо: стартовав полностью под AGPL, в 2026 году мейнтейнеры перешли на модель, в которой ядро остаётся открытым под AGPL, но исходный код публикуется не для каждой функции, а публичные коммиты приостановлены, пока они отбирают, что выпускать. Опубликованное ядро распространяется под GNU Affero General Public License v3, одобренной OSI.

Коммерческая форма тоже отличается от всех остальных, и граница уровней задевает именно читателей с парком машин. Бесплатная Community Edition размещается у себя, но ограничена 25 устройствами, что выводит её за пределы возможного дальше домашней лаборатории или оценки. Платный self-hosted-уровень снимает ограничение и включает неограниченное число устройств, пользователей, тенантов и площадок вместе с профессиональной поддержкой. NetLock прямо отделяет эту модель от своих облачных планов, которые тарифицируются по устройствам. Self-hosted-предложение, таким образом, убирает потолок по устройствам, но нынешний коммерческий пакет включает поддержку и другие преимущества единым набором, а не тарифицируется исключительно по времени ответа. Цена — зрелость и репутация.

ITarian On-Premise

On-premise-сборка ITarian — проприетарное ПО из линейки Comodo/Xcitium. Self-hosting не убирает счётчик лицензий за устройство: действующая документация ITarian по тарификации даёт до 50 управляемых устройств бесплатно, но как только вы добавляете 51-е управляемое устройство, управляемые устройства тарифицируются поштучно по применимой ставке. Это не open source, и он на это не претендует. Операционный след усложняет то, что нынешняя on-premise-документация ITarian внутренне противоречива. Руководство по развёртыванию описывает автономную конфигурацию Docker Compose до 1 000 устройств, тогда как раздел аппаратных требований указывает базу из двух серверов: узел ITSM с 8 ядрами, 8 ГБ ОЗУ и 100 ГБ хранилища рядом с узлом XMPP с 4 ядрами, 4 ГБ и 40 ГБ, оба на 1 000 устройств. Я бы воспринимал это как базу для расчёта, которую перед бюджетированием нужно подтвердить у ITarian, а не как доказательство того, что развёртывание на одном сервере не поддерживается.

Ключевой вывод раздела: «open source» в этих четырёх строках означает три разные вещи, и только две из них — то, что эта фраза обычно обещает.

Каким должен быть сервер

Документация по установке Tactical RMM точно задаёт нижнюю планку: чистая виртуальная машина Linux с 4 ГБ ОЗУ на Debian 11, Debian 12 или Ubuntu 22.04 LTS. Та же страница считает одно ядро CPU достаточным при менее чем 200 агентах с ограниченными проверками, а 50 ГБ хранилища — достаточными для менее чем двенадцати месяцев истории при таком числе.

Эти цифры применимы и за пределами Tactical RMM, потому что он включает MeshCentral, и нижняя планка уже учитывает слой удалённого управления. Самое важное слово здесь — «чистая». Установщик предполагает сервер без какого-либо другого ПО и предупреждает, что запуск рядом с существующими сервисами сломает установку. Это исключает размещение RMM на машине, которая уже приносит пользу (Nginx и Postgres, которые он ставит, — его собственные, и вашими он делиться не будет), а значит, сервер — это новая статья затрат, а не свободная мощность. Для этой модели затрат я бы брал размер выше опубликованного минимума, а не оптимизировал под него: 2 vCPU и 4 ГБ ОЗУ в районе нижних сотен, а 4 vCPU и 8 ГБ — как более безопасный ориентир ближе к верхним сотням. Это плановые допущения статьи, а не опубликованные минимумы Tactical RMM. ITarian требует отдельного расчёта, потому что его нынешняя документация даёт противоречивые сигналы об автономном и двухузловом развёртывании.

Управление конечными устройствами и мониторинг инфраструктуры постоянно смешивают, а это не одна и та же работа. RMM устанавливает агент на машины пользователей, чтобы обновлять их, выполнять на них скрипты и брать под удалённое управление, что отличается от вопроса, отвечает ли хост. Логика размещения в обоих случаях одна, и это тот же аргумент в пользу того, чтобы держать сервер отдельно от того, за чем он следит, который применим к любому монитору доступности. Сервер управления, живущий внутри площадки, которой он управляет, падает вместе с ней — ровно в тот день, когда он нужен.

ЧИТАТЬ

Как настроить Uptime Kuma на VPS

Точка безубыточности

Всё решают четыре числа, и два из них принадлежат вам, а не поставщику: сколько стоит коммерческий тариф при вашем размере парка, сколько стоит сервер, сколько часов в месяц он у вас забирает и сколько стоит час вашего времени. Вот они все, с подписями.

Цифры из источников. Диапазон NinjaOne за устройство и ставки Syncro за место взяты со страниц цен поставщиков, на которые даны ссылки выше, ставки спонсорских уровней — из опубликованной самим Tactical RMM таблицы спонсорства, а нижняя планка характеристик сервера — из документации по установке Tactical RMM.

Заявленные допущения — они принадлежат этой статье, а не поставщику. Цена сервера — условная: 35 $ в месяц за малый экземпляр и 70 $ за больший, замените её на то, что ваш провайдер берёт за такие характеристики. Время оператора — четыре часа в месяц при 50 и 200 устройствах и шесть в примере около 1 000 устройств, включая исправления, обновления, устранение проблем с агентами и редкие инциденты. Почасовая ставка — 50 $, как замена полной стоимости часа техника; Bureau of Labor Statistics публикует актуальную медиану для администраторов сетей и систем, но значение имеет ваша собственная оплачиваемая ставка. Число техников исходит примерно из 200 устройств на техника (если у вас плотнее, сдвиньте число мест, и порог сдвинется вместе с ним). Строка спонсорства — уровень 1, опубликованный минимум для подписи кода, для двух меньших парков и уровень 4 в примере около 1 000 устройств; Tactical рекомендует уровень 4 при менее чем 1 000 агентов.

Строка за устройство при 200 и 1 000 — диапазон, потому что NinjaOne публикует два края своей кривой, а не ступени между ними. Нижняя граница каждого диапазона — минимальная ставка при 10 000 устройств, которую парку такого размера не предложат, так что это намеренно щедро к коммерческой стороне. Если self-hosting выигрывает у этого, он выиграет и у ставки, которую предложат вам.

Две точки пересечения находятся не в одном месте. Против тарифа за устройство self-hosted-строка в 290 $ покрывает 78 машин по 3,75 $ и 194 по минимальной ставке 1,50 $, так что self-hosting обгоняет его где-то между примерно 80 и 190 устройствами, в зависимости от того, где в этом диапазоне ваш контракт. Против тарифа за техника картина меняется полностью. При 200 устройствах на техника одно место Syncro покрывает вас до 200 устройств (129 $), два — до 400 (258 $), три — до 600 (387 $), и self-hosted-строка опускается ниже этой кривой только на третьем месте, чуть за 400 устройств.

Ниже примерно 400 устройств self-hosting полноценного RMM при этих допущениях обычно обходится дороже. Решающей оказывается вторая точка пересечения, потому что платформа с оплатой за техника доступна уже сегодня днём и не требует от вас ничего разворачивать, обновлять и ни за что отвечать.

Два ваших собственных числа сдвигают этот порог. Уменьшите предполагаемую ставку вдвое, до 25 $ в час, и self-hosted-строка для малого парка упадёт с 290 $ до 190 $. Удвойте её до 100 $, и та же строка вырастет до 490 $ ещё до учёта более высокого спонсорского уровня или более крупного сервера. Эти изменения могут сдвинуть точку пересечения на сотни устройств, поэтому используйте тот спонсорский уровень и те часы сопровождения, которые вы действительно выбрали бы при своём размере парка, а не считайте 400 универсальным порогом.

Что self-hosting возвращает вам

В июле 2021 года уязвимость нулевого дня с раскрытием учётных данных в on-premise-серверах Kaseya VSA, CVE-2021-30116, эксплуатировалась в реальных атаках. Каталог Known Exploited Vulnerabilities агентства CISA описывает её как дающую злоумышленнику идентификатор сессии, пригодный для дальнейших атак на систему, и помечает как заведомо использовавшуюся в кампаниях с программами-вымогателями.

Три года спустя CVE-2024-1709 в ConnectWise ScreenConnect — обход аутентификации с максимальным CVSS 10.0 для версий 23.9.7 и ниже — попала в тот же каталог и использовалась в реальных атаках для развёртывания программ-вымогателей, а отчёт Huntress о постэксплуатации фиксирует злоумышленников, разворачивавших через неё майнеры криптовалют. Ни один из инцидентов не аргумент против коммерческих RMM, и ни один — аргумент за. В основе обоих один и тот же факт. RMM-сервер — это доверенный путь удалённого выполнения кода на каждой машине, где работает его агент: так задумано, и именно поэтому это заслуживает беспокойства. Скомпрометируйте плоскость управления — и вы скомпрометировали парк, независимо от того, принадлежит ли эта плоскость поставщику или вам.

При self-hosting меняется то, кто ставит исправления, как быстро и чьё имя стоит на инциденте. У этих платформ есть собственные исследованные уязвимости. У Tactical RMM это CVE-2025-69516 — внедрение шаблонов на стороне сервера в конечной точке предпросмотра отчётов, позволявшее пользователям отчётов с низкими привилегиями добраться до удалённого выполнения команд, и CVE-2025-69517 — HTML-инъекция в конечной точке создания агентов, запись о которой завершается позицией поставщика о том, что она содержит неверные сведения. Обе оценены в 8.8, и обе зафиксированы как затрагивающие v1.3.1 и ниже при текущей v1.5.2. У MeshCentral есть CVE-2024-26135 — межсайтовый перехват WebSocket через control.ashx с возможностью компрометации сессии администратора, с CVSS 8.3 и зафиксированный как затрагивающий версии до 1.1.21 при текущей 1.2.5. Текущие релизы находятся вне затронутых диапазонов трёх упомянутых здесь CVE. Это не убирает поверхность атаки; это делает своевременное обновление частью модели эксплуатации. Это активно исследуемая поверхность атаки, и опережать её придётся именно вам.

Второе, что меняется, — контрагент. Двое из четырёх продают собственный уровень поддержки: платные планы NetLock RMM и верхние спонсорские уровни Tactical RMM. Картина с поддержкой неровная. MeshCentral развивается сообществом, а ITarian — коммерческий продукт с поставщиком за спиной, собственным каналом поддержки и лицензионными условиями. Для оператора, у которого сбой RMM — это инцидент на стороне клиента с контрактом за ним, именно этот контрагент и есть то, что на самом деле продаёт коммерческое соглашение.

Иногда соответствие требованиям работает в обратную сторону, в узком смысле. В треде r/msp о self-hosted-вариантах один оператор описывает контракт, требующий, чтобы «подключение удалённого административного персонала осуществлялось по зашифрованному каналу (с сертификацией FIPS 140-2)», и говорит, что именно self-hosting позволяет ему это выполнить, поскольку сертифицированный VPN-модуль может нести соединение там, где большинство вендоров сертификацию не запрашивали. Один контракт в одном треде — не закономерность, но это случай, когда self-hosting — ответ соответствующий требованиям, а не дешёвый.

Вопрос о Tactical RMM 2021 года

Любой, кто оценивает Tactical RMM, наткнётся на это в течение часа поиска. В треде r/sysadmin за декабрь 2021 года исследователь нашёл код майнинга Monero внутри бинарных файлов агента, размещённых на резервном файловом зеркале проекта. Разработчик ответил публично, и этот ответ — источник всего нижеследующего:

«yes those are 1.98.XXX are my own personal builds that have extra binaries embedded in them (using golangs new embed feature added in go 1.16) and I use them on my own machines to mine monero.» («да, эти 1.98.XXX — мои личные сборки со встроенными дополнительными бинарниками (через новую функцию embed в Go, добавленную в go 1.16), и я использую их на своих машинах для майнинга monero.»)

Разработчик Tactical RMM, r/sysadmin, 2021

В том же ответе он заявил, что рабочий агент эти сборки не скачивает, а зеркало — резерв для зависимостей Python. Там же он подтвердил, что агент перестал быть open source с началом подписи кода, а разработка переехала в приватный репозиторий, так что публичный код устарел, а поставляемый агент на тот момент не поддавался публичному аудиту.

Чего в этой истории нет — так это завершённого независимого аудита безопасности. Уверенность в том, что рабочий агент чист, держится на заявлении самого разработчика и неформальном анализе в песочнице от одного комментатора. Оба ходящих в обиходе пересказа преувеличивают: «ничего не было» игнорирует, что бинарники для майнинга раздавались с инфраструктуры проекта, пока исходный код агента был недоступен для аудита, а «инструмент поставляется с криптомайнером» утверждает то, чего никакие опубликованные данные не подтверждают. По моей оценке, это суждение об операционных практиках, а не установленный технический факт.

Кому какой вариант подходит

Оставайтесь на коммерческом решении и полностью пропустите self-hosted-альтернативы RMM, если выполняется любое из трёх условий. Контракт с клиентом требует поимённо указанного вендора. Ваше соотношение устройств на техника уже делает тариф за техника самой дешёвой строкой — а это большинство парков до 400 устройств. Или на практике за сервер никто отвечать не будет, и тогда строка с часами оператора — фикция.

Выбирайте Tactical RMM, если хотите самый полный набор функций, управляете внутренними или клиентскими сетями, уверенно держите Linux-сервер в продакшене и готовы платить за спонсорский уровень. Если ваша коммерческая модель может подпадать под широкие ограничения лицензии на платные услуги, получите письменное разъяснение от AmidaWare, прежде чем разворачивать его для клиентов.

Выбирайте NetLock RMM, если одобренное OSI ядро и платный self-hosted-план с неограниченным числом устройств и профессиональной поддержкой важнее репутации, и вы принимаете более молодой проект, чей публичный репозиторий теперь — отобранное подмножество кодовой базы. Чётко понимайте, какой уровень покупаете. Бесплатная Community Edition заканчивается на 25 устройствах, так что при нескольких сотнях устройств это платный продукт, а его привлекательность — цена, которая не двигается, когда клиент покупает ещё двенадцать ноутбуков.

Выбирайте только MeshCentral, лишь если ваша основная задача — удалённый доступ, инвентаризация и разовое выполнение команд или скриптов, а не полноценные исправления и автоматизация политик RMM. Он зрелый, с разрешительной лицензией и силён в том, что делает. Если удалённое управление — всё, что требуется, сравните его и со специализированными решениями для удалённого рабочего стола, поскольку RustDesk закрывает похожие задачи с другим акцентом на функции. Ошибка — считать любой из них полноценной заменой RMM.

Выбирайте ITarian on-premise, лишь если удержание плоскости управления в собственной инфраструктуре важнее ухода от оплаты за устройство и вы хотите видеть за продуктом устоявшуюся компанию, несмотря на проприетарную лицензию и более тяжёлый след. Перед бюджетированием подтвердите поддерживаемую топологию развёртывания.

Если ответ — self-hosting, плоскости управления нужно где-то жить вне площадок, которыми она управляет, и быть доступной в день, когда одна из этих площадок недоступна. Практически: постоянный Linux-сервер на Debian или Ubuntu, root-доступ, ничего конкурирующего за ресурсы — и вы, поддерживающий его в актуальном состоянии. Наш самоуправляемый Linux VPS — именно такая машина, рассчитанная по приведённым выше общим характеристикам. Если окажется, что вам нужно удалённое управление, а не полноценная платформа управления, RustDesk разворачивается в один клик.

Разрабатывайте на Linux VPS с root-доступом, NVMe и мощью AMD EPYC.

Посмотреть тарифы Linux

Часто задаваемые вопросы