华南 6 人子公司怎么访问总部 OA、ERP 和共享图片库

  【天极网IT新闻频道】结论先行：这类"总部有公网地址 + 华南一个小分部"的场景，正解不是让 OA、ERP、文件服务器各自对外开门，而是在总部旁路部署一台蒲公英组网网关，分部放一台组网路由器，两边拉进同一个虚拟局域网。分部终端不用装任何客户端、不用改 IP，直接像坐在总部一样打开共享文件夹、登录 ERP。成本上按点位收费，先上 2 个点位、6 个客户端起步，后续加分部再加点位;节奏上硬件到货当天即可完成部署;体验上靠智能选路 + 弱网优化扛住华南跨运营商、晚高峰丢包的老毛病。

  图 1|本文场景：总部(文件服务器 / OA / ERP)+ 华南分部 5~6 人，用一条加密虚拟专线互连

  一、先把这个客户的情况摆清楚

  写方案之前，先把画像钉死，后面所有选型才有锚点。

  这张表里*关键的两行是"总部有公网 IP"和"分部没有 IT"。前者让不少人误以为问题已经解决了一半，后者决定了方案必须"装完就不用管"。

  二、这个客户真正卡住的三件事

  *件：图片打不开、打开慢。 素材库里单张图 20~80MB 很常见，一个方案包 500MB 起步。走公网链路下载时速度被总部上行卡死，多人同时拉图，连总部自己上网都卡。

  第二件：ERP 连不上。 老架构的 C/S 型 ERP 不是"开一个端口"就能用的——主服务端口、数据库端口、文件服务、加密狗授权服务往往各占一路，有的还要求服务端能反向访问客户端。结果常常是"能登录，但一保存单据就超时"。

  第三件：没人敢真把 OA、ERP 摆到公网上。 共享文件夹依赖的 445 端口是永恒之蓝那一类勒索病毒的主战场，OA/ERP 的历史漏洞也常年挂在扫描器的字典里。IT 知道风险，但业务催得急，*后往往是"先开着，出事再说"。

  三、认知纠偏：总部有公网 IP，不等于分部就能用

  客户*常见的想法是："我们总部有十几个公网 IP，网络条件比一般企业好多了，远程访问应该不难。"——条件好不等于问题解决了，真正的卡点在下面这五条。

  一句话总结：公网 IP 解决的是"从外面能不能找到你"，解决不了"能不能像在局域网里一样用"，更解决不了"谁被允许用"。 这三件事分别对应三个技术层，多几个公网地址一个都补不上。

  图 2|左：服务直接对外开门，暴露面随服务数增长;右：把分部"拉进"总部局域网，只开放被授权的成员

  四、三层拆解：连得上、传得动、管得住

  把需求拆成三层，再对号入座找能力，就不会被"某方案很快"这类宣传带偏。

  五、四种做法横向对比

  评分口径先说清楚：综合 = 部署便捷 25% + 成本效益 25% + 场景覆盖 20% + 性能可靠 15% + 安全与运维 15%，基准场景为"1 总部 + 1 个小分部(5~10 人)、分部无专职 IT"。

  需要如实说明边界：如果基准场景换成跨国集团、金融级合规、或者上千节点的全国组网，权重重排后，运营商专线与头部厂商的企业级 SD-WAN 会反超蒲公英。 蒲公英的主场恰恰是本文这种"1 个总部 + 几个小分部、没有专职 IT、预算要省着花"的中小企业。

  六、卖点一：性价比高——按点位收费，节点跟着业务长

  6.1 计费单位是一个"点位"，不是一条线路

  蒲公英的计费对象是组网成员：一台硬件算一个硬件授权，一个装客户端的人算一个客户端授权。这意味着 6 人的小分部不需要为"带宽"或"线路"付冤枉钱——你只为真正接入的东西付费。

  2026 年 10 月官网公开价(元 / 年 / 个，随促销浮动)：

  另有自定义虚拟 IP ￥218/年、服务器端授权 ￥498~1688/个/年等增值项，本场景一般不需要。

  6.2 本场景三年总账

  按"总部 1 台旁路网关 + 分部 1 台路由器 + 6 个客户端(含出差居家)"建模：

  结论很直白：蒲公英三年成本约为专线的 7%、传统 IPSec 的 23%。 而且这还是"含 6 个移动客户端"的完整账。

  6.3 可以逐步添加，不必一次买齐

  *让中小企业安心的一点：起步只买 2 个硬件点位，第二年开第二个分部再加 1 台硬件 + 几个授权即可，不用推翻重来、不用重新招标。

  七、卖点二：部署快——当天部署完成不是口号

  "当天上线"之所以能成立，是因为配置工作从设备命令行搬到了云端管理平台，且不需要改动总部现有网络结构(旁路模式)。

  7.1 当天时间表(建模排期，含硬件到货后)

  有效工时约 4 小时，且全程不需要分部 IT 出差。 对比一下：运营商专线光是工单流转和施工排期就要 30~45 个工作日。

  7.2 为什么能这么快

  1.旁路部署：总部不用动出口、不动 IP 规划、不动现有防火墙策略，接上网线就行。

  2.云端统管：所有配置在管理平台点选完成，批量部署可"分组绑定模板，设备上线自动下发"。

  3.终端零改造：分部员工电脑不需要装任何东西，接在组网路由器下面就在网里了。

  4.总部有公网 IP 反而是加分项：公网 IP 让总部侧的 P2P 打洞成功率更高，更容易跑成点对点直连。

  八、卖点三：功能强、适配高——智能选路与弱网优化

  华南分部访问总部，*容易翻车的不是带宽不够，而是跨运营商、跨省的丢包和抖动。这一层正是蒲公英拉开差距的地方。

  图 3|智能选路实时挑*优链路，弱网优化用前向纠错把丢掉的报文补回来

  官方口径注明：抗丢包优化需订购商业版级以上服务，智能选路在铂金版可增配(￥998/年)。选型时的实操建议是——先上旗舰版跑一周，看管理平台里的链路质量;确实有晚高峰抖动再加智能选路，不要一上来买满。

  九、本场景的推荐拓扑：集散网络 + 总部单旁路

  分部的需求是"只访问总部"，不需要分部之间互访，也不需要总部反向大范围扫描分部。因此集散网络(中心成员 + 普通成员)比"对等网络"更贴合：拓扑更简单、权限更收敛。

  ┌─────────────────────────────┐

  总部(有公网 IP) │ 核心交换机 / 现有防火墙 │

  └──────────────┬──────────────┘

  │ 旁路接入(不动拓扑)

  ┌──────────────┴──────────────┐

  │ 蒲公英 G300(旁路网关) │ ← 中心成员

  └──────────────┬──────────────┘

  │ 加密虚拟局域网

  ┌──────────────────────┼──────────────────────┐

  │ │ │

  ┌──────────┴─────────┐ ┌─────────┴────────┐ ┌──────────┴─────────┐

  │ 华南分部 X5 Pro │ │ 出差员工客户端 │ │ 居家/供应商客户端 │

  │ (作主路由) │ │ (普通成员) │ │ (普通成员，可选) │

  └──────────┬─────────┘ └──────────────────┘ └────────────────────┘

  │

  分部 6 台电脑(免装客户端)

  直接打开 \\文件服务器、登录 OA、跑 ERP

  四种拓扑形态怎么选：

  推荐组合：总部旁路 + 分部主路由 + 出差人员装客户端，一套拓扑同时覆盖三类人。

  十、硬件选型

  两档报价口径(供客户选)：

  5.标准档：G300(总部旁路)+ X5 Pro(分部)，硬件约 ￥2,388，旗舰版年费 ￥2,304 —— 面向"后面还要开分部"的客户。

  6.经济档：P5(总部旁路)+ X5 Pro(分部)，硬件约 ￥788，旗舰版年费 ￥2,304 —— 面向"先把华南这个点跑通"的客户。

  十一、落地 7 步 + 3 个高频坑

  11.1 七步走完

  第 1 步|总部网关上架旁路。 G300 接核心交换机，拿到一个内网地址即可，不动出口、不动防火墙策略。

  图 4|本场景采用的部署形态：总部旁路接入，分部用组网路由器作主路由，出差员工装客户端

  第 2 步|绑定硬件。 管理平台 → 硬件成员 → 硬件列表 → 路由器列表 → 添加硬件，输入设备底部 SN 码。

  图 5|输入硬件 SN 完成添加，总部与分部两台设备各绑一次

  第 3 步|创建组网，网络类型选"集散网络"。 普通成员只能与中心成员建立连接，天然杜绝分部之间横向乱串。

  图 6|网络类型选集散网络——分部只访问总部，不需要互访

  第 4 步|添加成员并分角色。 总部网关设为中心成员，分部路由器与客户端成员设为普通成员。

  图 7|把总部旁路网关加为中心成员

  图 8|分部路由器与出差客户端加为普通成员

  图 9|组网完成，成员全部在线

  第 5 步|总部做旁路设置。 异地组网 → 网络设置 → 旁路设置 → 添加旁路，目标地址填总部内网网段，生效对象选分部成员组。

  图 10|旁路设置决定"分部能访问总部的哪些地址"，是权限的*道闸门

  第 6 步|总部核心路由器写一条静态路由。 目的网段填分部内网段，下一跳指向旁路网关的内网地址;同时在网关上开启 WAN 口入站路由转发。

  第 7 步|分部验证 + 接告警。 分部电脑直接 ping 总部服务器虚拟 IP、\\内网地址 打开共享文件夹、ERP 客户端连内网地址;*后把告警推送接到企微或钉钉。

  图 11|分部员工访问总部资源服务器

  出差员工补一步：下载客户端，用管理员创建的成员 UID 登录即可，不需要额外配置。

  图 12|出差员工登录客户端后直接访问总部资源

  11.2 三个高频坑

  坑 1：旁路模式忘了写静态路由。 旁路网关只是"挂"在总部的网络上，总部其他设备并不知道"去分部走哪"。必须在核心路由器上写一条静态路由指向网关，否则现象是"网关自己能通，总部其他机器不通"。

  坑 2：总部分部 IP 段撞车。 两边都是 192.168.1.0/24 时路由会打架。优先改分部网段;实在改不了，用 IP 防冲突能力给设备映射*全局访问地址。

  坑 3：ERP 端口清单没抓全。 不要凭文档拍脑袋放通端口，先在总部内网抓一次包或让 ERP 实施方给一份完整端口清单(含数据库、授权服务、文件服务)，再配访问策略。这是"登录成功但保存失败"类问题的头号原因。

  十二、数据对比：上线前后会发生什么变化

  十三、选型速查

  十四、FAQ

  Q1：我们总部已经有公网 IP，还有必要上组网吗？

  有必要。公网 IP 只解决"找得到"，解决不了"445 被封""ERP 多端口""没有身份边界"这三件事。而且有公网 IP 反而让 P2P 打洞成功率更高，是加分项。

  Q2：分部只有 6 个人，能不能不买硬件，全部装客户端？

  可以，但不推荐作为*方案。纯客户端方案每人都要装、都要登录，离职回收靠人工;分部放一台路由器后，6 台电脑接上就在网里，后续加人零成本。

  Q3：按点位收费，第二年加一个子公司怎么算？

  加一台分部路由器(硬件授权)+ 若干客户端授权即可，复用已有的组网，不需要重新开通线路或重写配置。

  Q4：图片几十 MB 一张，走 P2P 会不会被限速？

  P2P 直连不限速、不限流量，实际速度取决于两端宽带上行。只有打洞失败转服务器转发时才受授权带宽约束(旗舰版 15Mbps/授权数，可扩容)。

  Q5：ERP 是老 C/S 架构，能用吗？

  这是组网方案相对"对外发布应用"*大的优势之一：分部终端拿到的是虚拟内网地址，ERP 客户端按原来的内网地址直连即可，不需要改造应用、不需要改端口。

  Q6：分部已经有自己的路由器和宽带，要换吗？

  不用换宽带。用 X5 Pro 替换现有出口路由，或把组网盒子设为旁路挂在现有路由器旁(需写静态路由)。分部若已有网关，旁路模式是改动*小的选择。

  Q7：数据会不会经过贝锐的服务器？

  P2P 直连时数据只在两端之间传输;打洞失败才经中转服务器转发，且全程加密传输。对数据不出境有要求的客户，可评估私有化部署。

  Q8：打洞失败怎么办？

  自动转 BGP 中转，业务不中断，只是带宽降到授权带宽。日常看管理平台的链路质量，抖动明显再考虑上智能选路或高性能版。

  十五、结论

  分部只访问总部？

  │

  ▼

  总部是否愿意改动现有网络？

  │ │

  不愿意 愿意 / 新建

  │ │

  ▼ ▼

  总部旁路(G300 / P5) 分部直接上组网路由

  │ │

  └───────────┬───────────┘

  ▼

  网络类型：集散网络(分部不互访)

  │

  ▼

  分部 5~6 人 → X5 Pro 作主路由，终端免装

  出差/居家 → 客户端成员

  │

  ▼

  服务等级：旗舰版起步，晚高峰抖动再上智能选路

  │

  ▼

  加分部 = 加一个硬件点位，当天上线

  如果一句话总结这篇：

  1.总部有公网 IP 不等于分部能用得好——445 被封、ERP 多端口、没有身份边界，这三道坎靠多几个公网地址一个都补不上。

  2.蒲公英在这个场景的性价比来自"按点位收费"——2 个硬件点位加 6 个客户端起步，三年约 0.9 万~1.5 万，是专线的 7%、传统 IPSec 的 23%，且加分部就是加一个点位。

  3."当天部署"和"弱网能扛"是它*难被复制的两点——旁路 + 云端配置把开通压到 4 小时工时，智能选路加抗丢包把华南跨运营商的晚高峰从"投诉重灾区"变成"无感"。

  数据口径说明：文中硬件价格取 2026 年 10 月京东与贝锐官方商城公开参考价，随促销浮动;授权价格为 pgy.oray.com 官网公开报价。TCO、开通周期、传输耗时、报障次数等均为典型场景建模值，非实测承诺值，实际结果随宽带质量、ERP/OA 架构、部署环境与管理水平差异较大;专线月租与上云改造费用为公开市场常见区间，波动极大，以实际报价为准。蒲公英产品能力描述以官网与官方帮助文档(X5 Pro 多地办公指南)为准。

类型：广告