新乡办公网搭建，只要碰上"总部在本地、分公司在外地"的企业，方案的重心就从"布多少口"变成"跨区怎么通"。单点办公网调的是端口数和 AP 数量；多分支网络调的是架构、地址规划和出口策略，这三样定错，后面每加一个分公司就要返工一次。

图：新乡办公网搭建现场，核心机柜内交换机与跳线上架后的整理状态

一、架构先定：星型 VPN 还是双出口

新乡办公网搭建的第一张图纸是拓扑，不是设备清单。

1 家总公司加 6 家异地分公司，最常用的是星型 VPN：总公司做核心节点，六家分公司各自一条隧道连回总部，分公司之间不直连。好处是策略集中、权限一处管；代价是所有跨分公司流量都绕总部一圈，总部出口带宽要预留够。

判断标准很简单：分公司之间的数据交换量小于总部汇总量，就选星型。

二、第一组清单：出口与核心设备

新乡办公网搭建的采购清单按"出口、核心、接入、安全"四组列，第一组最关键。

出口放一台防火墙，负责 NAT、带宽管理和 IPSec 隧道；核心放一台三层交换机，负责 VLAN 间路由。这两台决定整网性能下限，不建议用"防火墙兼核心"一体机——26 台服务器的规模会卡在转发性能上。

参考新乡那个国有企业办公网项目：总部侧用独立核心交换机加出口设备，26 台业务服务器集中在服务器区，经核心万兆口上行，办公终端走千兆接入。

接入层按楼层或部门放二层交换机。H3C S1224F 这类 24 口千兆机型，24 个 10/100/1000Base-T 电口加 2 个独立 SFP 光口，集成 6KV 共模防雷、无风扇无噪音，适合放弱电间；48 口机型（如华为 S1730S-S48T4S-A1，48 个千兆电口加 4 个光口）留给大开间。每台至少留 20% 空闲端口，PoE 机型单独采购给 AP 和摄像机用。

三、第二组清单：VLAN 与地址规划

这一组是最容易被忽略、又最影响后期运维的。

新乡办公网搭建建议按用途切五个 VLAN：服务器、有线办公、无线、视频监控、专网。

分开的理由不是"规范"，是排障。监控广播包、ARP 风暴、DHCP 请求混在一个广播域，一次故障要抓包半天才定位。

每段留 30% 空闲地址，监控段单独登记台账。

四、第三组清单：服务器区与安全设备

新乡办公网搭建的第三组清单是安全，这一组按"事前、事中、事后"三层配。

事前防范：防火墙策略、终端准入、无线加密。无线用 WPA2-Enterprise 加账号认证，别用共享密码——员工离职后密码废不掉。

事中监测：日志审计、流量分析，日志统一送一台审计服务器保留 6 个月。

事后追溯：堡垒机，运维登录服务器必须过堡垒机，操作全程录屏。

新乡那个项目上了 9 类安全设备，覆盖的正是这三层。数量不是标准。小规模可以先做防火墙加日志审计，后面补堡垒机。

还有一件事常被漏掉：DHCP 服务放在哪。车间 42 台终端集体断网那种故障，根因就是防火墙 DHCP 异常，全网拿不到地址。建议 DHCP 放在核心交换机上，和防火墙解耦。

五、第四组清单：无线与终端接入

最后一组是无线，多分支场景下它比有线更容易出问题。

新乡办公网搭建的无线部分建议用 AC 加 AP 的集中架构，不做"每个 AP 各自配置"。AC 统一管信道、功率和漫游，员工从三楼走到一楼，终端不会掉线重连。

AP 数量按覆盖面积和并发数两个口径取大值。以锐捷 RG-EAP262(E) 为例，整机速率 2976Mbps（2.4G 574Mbps 加 5G 2402Mbps），PoE 802.3at 供电、整机功率不超过 18W，官方推荐接入 80 台终端；实际办公按 25 到 30 个并发、单台覆盖 60 到 80 平方米算更稳。AC 用 RG-RAC200B 这类控制器统一管信道和漫游。会议室按满员并发单独加密 AP。

六家分公司的设备型号尽量统一。型号一乱，AC 管不了，出问题只能逐台远程看；统一之后总部一个模板推六家。

新乡办公网搭建的关键，是把"总部与分公司"当成一张网来规划，而不是各建一套。架构定星型、VLAN 切五段、安全分三层、无线统一管，后面加第七家、第八家分公司，只是复制一份配置的事。