企业办公与分支组网

先做一份小范围试点计划

把公司要完成的访问写成具体句子，例如“员工笔记本访问办公室文件服务器”“运维电脑连接分支 SSH”“外部合作方只访问测试网页”。先用一台管理电脑、一台目标服务器和一个普通成员账号验证，不要一开始把全部生产设备接入同一个开放网络。

确定由哪个账号拥有网络和套餐，谁任网络管理员，谁只使用业务。整理各地点网段、服务器地址、应用端口、设备维护人和独立管理方式。两个地点使用相同私网网段时，先由网络维护者规划，避免后续地址指向不清。

建议按这个顺序落地

1. 负责人创建网络，先连接一台管理电脑。
2. 按人发送成员邀请，员工使用自己的账号接入，避免共享管理员账号。
3. 给常驻服务器、Linux/OpenWrt 网关分别生成单次接入命令。
4. 按业务需要配置设备分组、访问规则、子网路由和内网 DNS。
5. 用普通员工账号验证可访问和不可访问的服务，再扩大接入范围。

操作入口：邀请员工 · 添加设备 · 分支网关。

规划网络和成员

按访问边界创建网络，例如生产运维、办公协作与外部协作。员工使用各自的统一账号，通过邀请加入，不共用管理员账号。服务器通过单次设备令牌接入；每台设备使用独立令牌。

电脑可以同时连接多张网络，分别访问办公室、分支与合作方设备；常驻网关应使用专门的 Linux 或 OpenWrt 设备，持续连接所服务的网络。套餐设备额度按网络所有者账号汇总计算。

让分支局域网可访问

1. 在分支部署一台能访问内网业务的 Linux 或 OpenWrt 网关，安装并接入网云连。
2. 按子网路由指南发布实际网段，所有者核对后批准。
3. 在员工电脑连接同一网络，用 IP 访问内部网站、NAS、SSH 等实际业务端口。
4. 需要备用网关时，在同一局域网增加第二台网关，发布相同网段，使用不同优先级，并分别批准。

默认开启 SNAT，局域网设备通常无需额外添加返回路由。两地局域网应使用不同网段；例如两端都使用 192.168.1.0/24 时，应先调整网段，避免目标地址歧义。网关主备切换可能中断已有会话，应用需要重新连接。

设置最小访问权限

1. 在“访问规则”建立设备分组，例如 employees、production、maintenance。
2. 先添加业务所需规则：员工到业务服务器开放 TCP 443；运维到服务器开放 TCP 22；内部 DNS 按需开放 UDP 与 TCP 53。
3. 核对规则顺序，再把“未匹配规则时”设为拒绝设备互访并保存。
4. 分别用获准与未获准的设备访问实际服务，确认业务可以使用、额外端口无法访问。

规则按从上到下首次匹配的结果执行。网云连的访问规则与目标系统防火墙同时生效；远程桌面、文件共享和数据库仍应启用自身账号与密码。网络所有者的管理操作通过独立控制服务完成。

接入内部域名

在内网 DNS为服务添加易记记录，或将企业域名指向内部 DNS。分流服务器位于局域网时，先配置通往它的子网路由和端口权限。

人员离职与设备丢失

及时移除成员、撤销设备，并清理未使用的邀请与设备令牌。移除网络成员后，其设备将失去该网络的访问资格；遗失的固定服务器应单独撤销，并使用新令牌重新接入。同步检查业务系统账号权限。

日常检查

在设备列表分别检查“管理在线”和组网连接，远程连接管理要求后台服务运行且能访问控制服务。在“操作记录”核对设备撤销、路由审批和访问规则变更；遇到异常时导出诊断信息。

调整名称与解散网络

所有者可以在“网络与设备”重命名网络，设备地址保持不变。不再使用的网络可选择“解散网络”，输入完整网络名称确认；所有设备、邀请、令牌和子网路由随即撤销，网络与设备额度释放。解散前请先把仍需使用的设备接入其他网络。

P2P 直连没有套餐速率上限；需要中继时，免费、个人、团队的共享上限分别为 1、10、30 Mbps。实际速度受两端网络、设备与线路负载影响。

试点接入：把账号和服务器分开处理

员工用自己的账号接受成员邀请，再在客户端连接；无人值守服务器或网关用独立的一次性设备令牌接入。每台设备都记录清楚归属，不把所有员工都共用一个管理员账号，也不把一条单次命令重复给整批机器。

接入后先在设备列表补齐名称、备注和地点。例如“苏州网关-01”和“财务文件服务器”比一串默认主机名更容易维护。在线后再测试业务，不把“命令执行完了”当作所有服务都可用。

访问规则怎样从宽到严逐步验证

先确定需要保留的管理通道，再为员工、业务服务器和运维设备建立分组。按来源、目标、协议和实际端口添加规则，检查顺序；规则首次匹配决定结果，靠后的允许规则可能被前面的拒绝挡住。

准备好允许规则后，再按需要选择默认拒绝并保存。立刻用普通成员测试应允许的业务，再测试一个应被禁止的额外端口，确认两种结果。不要只从所有者电脑测试，也不要通过关闭服务器全部防火墙掩盖规则问题。

规则调整可能中断正在进行的连接。保留变更前配置与操作记录，安排合适时间修改，并保持不依赖这条待改网络的现场或管理通道，便于必要时恢复。

分支网关和备用网关怎样验收

网关本地先能打开目标服务，再发布真实网段，完成审批后由外地测试电脑访问原局域网地址。测试网页、文件或 SSH 时都使用服务真实端口和业务账号。NAS 没有安装客户端时，不会因为网关在线就单独出现在设备列表。

设置备用网关时，分别核对它们都能访问同一业务网段、SNAT 设置一致，并按需求设优先级。实际停用一台测试切换前，先安排业务窗口和恢复方法；主备切换可能让已有会话重连，不应承诺应用无感。

推广到全部员工前的检查清单

确认普通员工只能访问获准服务；网关保持常驻并有明确维护人；关键设备已配置适当监控；管理员知道如何降权和撤销成员；工单与诊断资料有可信提交渠道。最后才按部署清单扩大接入。

离职或设备丢失时，撤销网云连成员或设备资格，并同步检查业务系统自身的账号、密钥和共享权限。网络撤权不会替你完成所有应用账号清理。

遇到这些情况，怎样继续？