办公网络卡顿？问题往往不在带宽

很多企业主跟我抱怨：“明明拉了千兆专线，怎么一到下午全员办公就卡成PPT？”其实，带宽只是表象。真正的瓶颈，往往出在企业级路由器的转发性能，以及无线AP的部署密度上。一台百元级家用路由带50台终端，不卡才怪。

更深层的原因在于，多数中小企业的网络架构还停留在“单点设备”思维——一台路由器扛所有。可现实是，视频会议、云盘同步、IoT设备（门禁、空调、传感器）同时在线，连接数轻松破千。此时，设备的会话并发数和数据包转发率就成了硬指标。家用路由器往往在512条会话左右就开始丢包，而企业级设备起步就是50000条。

从拓扑到配置：三层架构才是稳定基石

我们给客户做方案时，最常画的是这张图：出口层（企业级路由器+网络防火墙）→ 核心层（三层交换机）→ 接入层（无线AP）。别小看这个结构。出口层的网络防火墙要开启状态检测，别只当普通路由器用；核心交换机要做VLAN划分，把办公网、访客网、监控网物理隔离；无线AP则建议采用FIT模式，由无线控制器统一下发配置，漫游时延才能控制在50ms以内。

举个真实案例：上个月帮一家200人规模的电商公司改造，原来用两台家用路由做Mesh，一到促销季就掉线。我们换上3台Wi-Fi 6吸顶AP（每台带机量80终端），配合千兆企业级路由器，并把DHCP租期从2小时调长到24小时，彻底解决了IP频繁冲突的问题。关键参数是：2.4GHz频段功率调到12dBm，5GHz调到17dBm，避免同频干扰。

安全与远程接入：别把大门敞开着

很多客户觉得装了防火墙就万事大吉，却忽略了VPN网关的配置。尤其是有分支机构和移动办公需求的公司，VPN网关必须支持IPSec和SSL VPN双模式。我们一般建议：总部用IPSec隧道连分支（吞吐量高），出差员工用SSL VPN（免客户端）。同时，在核心交换机上做端口镜像，把流量引到入侵检测设备上做深度包检测——不是为合规，而是为了发现内网横向扫描行为。

• 无线AP：推荐每15-20平米部署一个，高密度会议室按30人/个加装
• 企业级路由器：务必确认支持策略路由和负载均衡，别只看WAN口数量
• 网络防火墙：启用入侵防御IPS功能，但注意规则库要月度更新

对比一下两种常见做法：方案A（省钱型）是单台企业级路由器+4个无线AP，不做VLAN，不设防火墙策略，适合50人以下公司；方案B（稳健型）是路由器+防火墙+VPN网关+入侵检测设备+8个AP，分三个VLAN，并启用802.1X认证，适合100人以上或对数据敏感的企业。前者预算约1.5万，后者约4万，但后者在安全性上完全是两个维度。

给你的落地建议

最后说点实在的。如果你现在正打算采购，请务必关注设备的MTBF（平均无故障时间），企业级设备通常要求10万小时以上。另外，无线AP一定要支持PoE供电（802.3af/at），这样布线成本能省一半。配置调试时，记得把网络防火墙的日志外发到Syslog服务器，保留90天——出了事这是唯一的证据链。先跑通基础连通性，再逐步加策略，别一上来就开全功能，否则排障会让你崩溃。