企业远程办公的企业网络方案 | OSDWAN

问题为什么存在

远程办公的问题常不是带宽不够，而是路径与责任边界变了：访问变为“终端→家庭宽带→公网→企业出口→内网应用”，所有远程会话都要穿企业出口。常见瓶颈同时出现：出口集中使跨城时延从20ms抬到80-150ms；SSL VPN标称并发200-500，开启内容检测后加密吞吐下降；家庭宽带上行常只有20-30Mbps（下行100-300Mbps），一路1080p约2Mbps，三四路并发即顶到上行天花板；链路质量不可见。海外团队访问国内系统再绕回当地SaaS，同一OA在办公室1秒、在家5秒、海外办公点15秒。家庭NAT、Wi-Fi干扰、UDP限速、终端安全拦截会表现为间歇卡顿。

关键判断标准

先定指标与阈值，试点用同一口径。时延：同城≤30ms、跨省≤60ms、跨区域与海外≤150ms；超过200ms，ERP提交、代码拉取、1080p唇音同步会出问题。丢包：≤0.5%良好，0.5%-2%需优化，超过2%时TCP吞吐断崖下跌，可用带宽可能只剩标称三成；看单向丢包。抖动：≤30ms，超标表现为断续、马赛克。可用性：核心应用按月99.9%，月度不可用≤43分钟；单链路切换≤5秒，视频会议≤3秒。带宽：普通办公2-4Mbps/人，1080p按2Mbps/路上行，并发系数30%-50%；100人按30-50路会议规划，上行60-100Mbps；CPE加密吞吐按峰值2倍选型，会话数按终端10倍预留。可观测性：采集≤5分钟，保留≥30天。验收看终端、家庭出口、企业出口、应用侧四点，设预警线与验收线，连续30分钟突破验收线才判失败。

方案对比

成本不能只看月费。三年TCO常漏算实施与割接人力、灰度期双通道冗余、故障排查时间；按100人规模，一次全公司割接安排不当，损失有效工时折算常超硬件投入。方案可组合，但要把订阅单价换算为三年人均成本，并计入退出成本：CPE能否转备用、订阅能否缩节点；硬件占比、加密吞吐净值、并发会话上限要与峰值对齐。

分场景建议

• 小型（50人以下、1-2个办公点）：客户端接入为主，主办公点放W1000A-WiFi，链路“宽带+5G备份”；核心系统走隧道，公有云与公开SaaS本地直出；成本大头是订阅，验收看丢包≤0.5%与会议卡顿率下降。
• 中型（50-500人、3-10个办公点）：总部与分支部署W1000A/W1000A-WiFi，双链路、智能选路，非关键流量本地直出，ERP、OA、代码仓库回总部；叠加SASE统一身份与最小权限；带宽按并发40%规划，每季度复核。
• 大型（500人以上、多区域）：总部/数据中心用W2000汇聚，分支用W1000A系列，按区域就近接入，依托60+国家接入节点与200+POP缩短路径；按“终端—本地链路—节点—应用”四级定位；变更灰度，一次不超过200人。
• 海外业务团队：优先本地化访问一致性，配合海外静态住宅IP做访问验证与本地服务对接，避免“出去再回来”；上线前完成合规与数据流向评审，账号权限与访问日志同步落地。

共同原则：核心流量走隧道，非核心本地出口，链路冗余，安全策略统一。验收周期：小型试点至少5个工作日，含2个业务高峰日；中型4周，覆盖一次月度周期。链路备份用宽带+5G分担会议上行拥塞；出口策略先应用识别再引流，避免SaaS误入公司隧道。

落地步骤与注意事项

评估（1-2周）：盘点应用与依赖，采集7天现网出口利用率、VPN并发峰值、丢包与时延分布，输出节点/带宽规划与验收基线。试点（2-4周）：选1个分支加20-50人，按丢包≤0.5%、时延≤150ms、切换≤5秒验收，设对照组比对应用打开耗时。推广（4-8周）：按部门分批，每批≤200人，先非核心后核心；保留原通道30天作回滚，回滚演练至少一次。常见坑：隧道封装后有效MTU从1500降到1400左右，需MSS钳制；DNS就近解析；双出口注意NAT会话保持。排查顺序固定：终端与本地Wi-Fi→家庭/分支上行→隧道与节点→目标应用与出口策略→运营商链路；先丢包后时延，先单向后往返。运营每周看核心链路时延/丢包趋势、接入平台并发峰值、应用响应分位值；每季度压测网关与汇聚设备，每年重评应用与流量矩阵。上线前定义降级路径：主隧道不达标时终端能否本地直连，汇聚节点故障时分支能否按预置策略独立转发，认证不可用时是否允许紧急访问最小应用集合。