很多企业行政或老板对工位网络的理解停留在"每个工位拉一根网线"——装修队把网线铺到桌面，插上台式机能上网，就算完工。但半年后会陆续出现这些问题：财务部和销售部互访了不该访问的文件、IP地址冲突导致新员工电脑连不上网、无线在会议室能用走到工位就断、IP电话和监控摄像头供电不足频繁重启……
工位网络规划的本质，是企业网络架构的起点。 本文从IT负责人视角，拆解6大核心技术决策，帮你一次性把地基打牢。
一、VLAN规划：按部门切分，还是按楼层切分？
VLAN（虚拟局域网）是工位网络规划的"骨架"，决定了不同工位之间的数据能否互通。切分方式直接影响安全性、广播域大小和未来扩展性。
两种切分方式对比
切分方式 | 优点 | 缺点 | 适用场景 |
按部门切分 | 权限清晰，财务部、研发部天然隔离，符合最小权限原则 | 跨部门协作时需要额外配置VLAN间路由，略复杂 | 中型以上企业，部门间数据敏感度高 |
按楼层切分 | 配置简单，每层楼一个网段，维护直观 | 同楼层不同部门混在一个广播域，安全隐患大 | 小型企业，部门间数据共享需求高 |
推荐做法：混合切分
核心业务部门（财务、人事、研发）各自独立VLAN，与外部严格隔离
通用办公区域（销售、行政、市场）可按楼层或区域合并，减少VLAN数量
公共设备（打印机、NAS、服务器）单独一个VLAN，通过ACL控制哪些部门可以访问
访客/临时网络独立VLAN，与办公网络物理隔离，仅允许访问互联网
预留空间：VLAN编号建议按10的倍数递增（如VLAN 10财务、VLAN 20研发、VLAN 30销售），中间预留编号供未来新增部门使用。
二、IP地址规划：给未来三年留足余量
IP地址规划是工位网络中最容易被忽视、却最难后期调整的环节。一旦网段设小了，后期扩容只能推倒重来。
地址段分配建议
用途 | 推荐网段 | 子网掩码 | 可用IP数 | 说明 |
核心服务器 | 192.168.1.0/24 | 255.255.255.0 | 254 | 域控、ERP、邮件服务器，固定IP |
网络设备管理 | 192.168.2.0/24 | 255.255.255.0 | 254 | 交换机、路由器、防火墙、AP管理IP |
打印机/扫描仪 | 192.168.3.0/24 | 255.255.255.0 | 254 | 固定IP，方便全员添加 |
监控/门禁/IoT | 192.168.4.0/24 | 255.255.255.0 | 254 | 与办公网隔离，防止IoT设备成为攻击跳板 |
办公工位（有线） | 192.168.10.0/22 | 255.255.252.0 | 1022 | 覆盖500人+预留，按楼层或区域再细分 |
无线办公 | 192.168.20.0/22 | 255.255.252.0 | 1022 | 手机、笔记本、平板，与有线分离便于管控 |
访客网络 | 192.168.50.0/24 | 255.255.255.0 | 254 | 仅允许访问互联网，禁止访问内网任何资源 |
关键原则
服务器与工位分离：服务器必须用独立网段，禁止与工位混用DHCP池
有线与无线分离：即使同一员工，有线IP和无线IP也应在不同网段，便于策略区分（如无线默认只能访问互联网，有线才能访问ERP）
预留50%以上空间：当前100人，IP池至少按200人规划，避免后期重新划分子网导致全公司断网调整
三、带宽与上联规划：不是"人均100M"这么简单
工位网络的带宽规划，不能简单按"人数×人均带宽"计算，必须考虑并发系数和业务峰值。
带宽需求计算模型
岗位类型 | 日常办公带宽 | 峰值场景 | 并发系数 |
行政/人事 | 2-5Mbps | 偶尔下载附件 | 0.3 |
销售/客服 | 5-10Mbps | 视频会议、CRM查询 | 0.5 |
设计/视频 | 20-50Mbps | 大文件传输、云渲染 | 0.7 |
研发/测试 | 10-20Mbps | 代码仓库拉取、容器镜像下载 | 0.6 |
计算公式：
出口总带宽 = Σ(各岗位人数 × 人均带宽 × 并发系数) × 1.5（冗余系数）
举例：50人企业（20销售+20行政+10设计）
销售：20×10×0.5 = 100Mbps
行政：20×5×0.3 = 30Mbps
设计：10×50×0.7 = 350Mbps
小计：480Mbps × 1.5冗余 = 建议出口带宽≥720Mbps，即千兆光纤
上联规划要点
核心层到汇聚层：万兆光纤（10Gbps），确保主干不成为瓶颈
汇聚层到接入层：千兆电口或光纤，按工位密度选择24口/48口交换机
特殊业务专线：视频会议系统、财务网银、监控存储，建议独立物理出口或VLAN QoS保障
内网传输瓶颈：如果设计部经常传输10GB以上的PSD/视频文件，工位到NAS的内网带宽必须达到千兆（125MB/s）以上，否则出口带宽再大也没用
四、POE统一供电：一根网线搞定电话、监控、AP
POE（Power over Ethernet）即网线供电，是工位网络规划中大幅简化布线、降低维护成本的关键技术。
哪些设备适合POE？
设备 | 功率需求 | 是否推荐POE |
IP电话 | 3-7W | ✅ 强烈推荐，省去电源适配器 |
无线AP | 8-15W（普通）/ 25W+（高功率） | ✅ 强烈推荐，吸顶安装无需电源插座 |
监控摄像头 | 5-12W | ✅ 推荐，室外点位取电困难时尤其重要 |
POE交换机功率计算
POE交换机的总输出功率必须大于所有POE设备功率之和，并留30%余量。
举例：一层楼需要
无线AP 4个 × 15W = 60W
IP电话 20个 × 5W = 100W
监控摄像头 6个 × 10W = 60W
合计：220W × 1.3余量 = 至少需要POE总功率≥286W的交换机
注意：POE有802.3af（15.4W）和802.3at（30W）两种标准，高功率AP和云台摄像头必须选择支持802.3at的交换机。
五、有线+无线融合：工位有线保稳定，无线保漫游
现代办公环境中，员工不再固定坐在工位上——会议室讨论、茶水间电话、开放区协作，都要求无线网络无缝漫游。
架构设计要点
1. 统一SSID，分离频段
办公网络只广播一个SSID（如"Company-Office"），员工无需手动切换
2.4GHz和5GHz使用同一SSID，由终端自动选择（近距离连5G高速，远距离连2.4G保覆盖）
访客网络使用独立SSID（如"Company-Guest"），强制Portal认证
2. AP部署密度与信道规划
开放办公区：每80-100㎡部署1个吸顶AP，间距8-10米
承重墙/玻璃隔断：信号衰减严重，需在走廊两侧对称部署
2.4GHz信道：仅使用1、6、11三个不重叠信道，相邻AP错开
5GHz信道：使用36、40、44、48等UNII-1频段，干扰少、速率高
3. 漫游协议配置
开启802.11k/v/r快速漫游协议，确保手机/笔记本在AP间切换时视频会议不中断
有线网络与无线网络使用同一核心交换机，避免跨设备转发增加延迟
4. 工位有线作为"压舱石"
每个工位保留至少1个千兆有线网口，用于台式机、IP电话、高稳定性需求设备
无线作为移动补充，而非有线替代——财务电脑、服务器管理口必须强制有线接入
六、安全边界：工位网络的"三道防线"
工位网络是企业内网的最大攻击面，每个网口、每个无线信号都是潜在的入口。
第一道：物理端口安全
端口安全（Port Security）：接入交换机每个端口绑定允许接入的MAC地址数量（如只允许1个），防止员工私接小路由器或交换机导致环路
未使用端口Shutdown：装修预留的闲置网口，全部关闭或划入隔离VLAN，防止外来人员插入即上网
DHCP Snooping：防止私接设备伪造DHCP服务器，导致全公司IP冲突
第二道：网络分段隔离
访客网络与办公网络物理隔离：访客WiFi只能访问互联网，禁止访问内网服务器、打印机、NAS
IoT设备独立网段：监控摄像头、门禁、智能插座等IoT设备，禁止直接访问办公网段
财务/研发高敏感区域：单独VLAN + 独立防火墙策略，甚至独立物理网络
第三道：出口安全策略
上网行为管理：按部门/岗位设置访问策略（如研发部允许访问GitHub，销售部禁止访问视频网站）
出口NAT日志：记录内网IP访问外网的完整日志，便于安全审计和事后追溯
入侵检测/防御：在防火墙开启IPS功能，拦截常见攻击特征
七、规划落地：复杂架构可以找专业团队
以上6大技术决策，需要IT负责人对网络协议、厂商设备、安全策略有系统性的理解。对于没有专职网络工程师的企业，建议将架构设计阶段外包给专业团队，确保地基打牢后再由内部人员日常维护。
成都叮当网络·爱包干™ 拥有32名全技术栈工程师，覆盖网络架构设计、VLAN规划、IP地址规划、POE部署、无线漫游调优、安全策略配置等全流程，可为企业提供工位网络规划的免费上门勘测与方案设计服务。
