返回博客
Business

中国办公室网络怎么选：VPN 应用、VPN 路由器还是跨境专线？

面向 5 到 50 人外企办公室的中立选型指南：VPN 应用、办公室路由器、持牌运营商跨境专线、SD-WAN 和本地云，附带有出处的费用与手续。

2026 年 10 月更新。

简短回答

对于 5 到 50 人、主要需要使用 Google、Microsoft 365、Zoom 和 Slack 的外企办公室，一台带智能分流的办公室 VPN 路由器当天就能覆盖所有设备。如果合规部门明确要求使用持牌运营商线路，跨境专线才是正确答案，但要预留两到四个月的开通周期，并准备每月数千美元的费用。

目录

在中国，办公室上外网有哪些方案？

让中国大陆的办公室稳定使用国际工具，现实可行的方案有五种。它们解决的问题不同，也可以组合使用。

  1. 每台设备安装 VPN 应用。 每部手机、每台电脑各装一个 VPN 服务商的应用，办公室本身不需要任何设备。
  2. 一台带智能分流的办公室 VPN 路由器。 国际服务走加密连接，国内服务继续走你原有的宽带，连上 Wi-Fi 的每台设备都被覆盖。
  3. 跨境专线（IEPL 或 IPLC）。 向持牌的中国运营商（或转售其资源的合作伙伴）租用的国际专用电路，把中国办公室和你在香港、新加坡等地的内部网络连起来。
  4. SD-WAN 和云网络。 用托管服务把各地办公室和云上系统连在一起，例如阿里云云企业网（CEN）跨境连接，或 Cato 这类 SASE 服务。
  5. 面向中国客户的本地云。 把网站、应用或客户门户部署在中国大陆境内。

前四种解决的是“员工访问海外”，第五种解决的是“中国用户访问你”。

有一个前提决定了其他一切：根据 TechDirectory 2026 年 7 月的跨境连接指南，所有进入中国大陆的线路，最终都落在中国电信、中国移动、中国联通这三家持牌运营商的国际出入口上。境外服务商可以与它们合作，但不能自行运营跨境线路。

几种方案怎么比？

下表价格来自三类来源：我们自己公布的价格（2026 年 10 月）、2026 年 10 月 23 日核对过的公开标价，以及明确标注的第三方基准价。运营商不会公开跨境电路的价格。

方案适合谁典型费用手续覆盖范围短板
每台设备装 VPN 应用1 到 5 人、经常出差Throughwire 个人版每月 49 美元起（100 GB，最多 3 台设备）；Astrill 单月标价 30 美元无只覆盖装了应用并打开的设备每台设备都要单独处理，电视、打印机、会议室大屏装不了应用
办公室 VPN 路由器同一办公室 5 到 50 人路由器一次性购买，加 Throughwire 团队版每月 199 美元起（400 GB，50 个席位）无办公室 Wi-Fi 和网线上的所有设备只覆盖这一个网络，不是持牌运营商线路
跨境专线（IEPL 或 IPLC）受监管行业、大型站点、合规主导的企业第三方基准：香港至上海 10 Mbps 的 IEPL 约每月 1,200 至 2,500 美元（DCConnect 2026 年亚洲基准，经 TechDirectory 引用，2026 年 7 月，非报价）与持牌运营商签约、营业执照、内部办公用途承诺办公室与你境外内部网络之间的流量每 Mbps 成本高，开通一般需 8 到 16 周
SD-WAN 或云网络（阿里云 CEN 跨境）连接各地办公室和云上系统按需报价；CEN 跨境为包年包月订阅，费用付给中国联通营业执照、组织机构代码证、授权书你自己在境内外的系统仅限内部系统互联，部分厂商条款禁止绕过防火墙
本地云面向中国客户的网站和应用按云资源用量计费每个域名需 ICP 备案中国用户访问你对员工访问 Google 没有帮助

TechDirectory 明确说明，它给出的电路价格是“用于预算量级的第三方基准，不是报价”。

什么情况下应该选跨境专线？

以下几种情况，应当选择持牌运营商的跨境专线，而不是 VPN 路由器：

  • 你所在的行业受监管。 银行、保险、资管、医疗和上市公司，常常需要向审计方说明数据如何出境。与持牌运营商签订的合同，就是有据可查的答案。
  • 合规部门要求使用持牌运营商线路。 如果集团政策这样规定，这个问题就已经有了答案。
  • 站点规模大，或流量持续不断。 数百名员工、工厂，或需要全天候向境外数据中心同步数据。
  • 你需要一条通往自有系统的私有通道。 比如 ERP、文件服务器，或不应经过公网的总部网络。

微软自己的指南也指向同一方向。对于使用全球版 Microsoft 365 租户的中国员工，微软建议用私有网络把 Microsoft 365 流量送到中国境外出口，并以香港、新加坡、日本和韩国为例。它同时提醒企业应“consult regulatory requirements”（核实监管要求），并表示“Microsoft has no recommendations on the use of SDWAN or VPN solutions”（微软对 SD-WAN 或 VPN 方案不作推荐）（Microsoft Learn，2026 年 8 月更新）。

如果走专线，需要预期：

  • 开通周期。 TechDirectory 给出的 IEPL 典型周期是 8 到 16 周，并指出中国运营商的现场勘察是“最容易延误的环节”。
  • 使用范围。 按照 2017 年的规定，运营商出租的国际专线仅供用户内部办公使用（见下文法律上是怎么规定的？）。请运营商以书面形式说明你的线路可以承载哪些流量。
  • 在哪里买。 运营商通过其国际子公司销售，例如中国电信欧洲公司的 IEPL 产品，也可以通过合作伙伴购买。

办公室 VPN 路由器能做到哪些应用做不到的事？

办公室路由器适合最常见的情况：中小型办公室，员工每天都要用国际工具，没有 IT 部门，也不想做一个三个月的项目。

  • 所有设备都被覆盖。 笔记本、手机、会议室大屏和访客设备，只要连上 Wi-Fi 就行，不用安装任何东西。
  • 国内应用继续走原有宽带。 微信、企业微信、钉钉、支付宝、淘宝、京东、百度和高德地图直连，速度不受影响，也不消耗套餐流量。
  • 国际工具自动走 Throughwire。 Google 搜索、Gmail 和 Workspace、Microsoft 365 和 Teams、Zoom、Slack、GitHub、LinkedIn 都会自动走 Throughwire，凡是没有被识别为国内的服务也一样。每项服务怎么走，可以在我们的分流目录里查到。
  • 几分钟完成设置，而不是几个月。 把路由器接到现有的光猫或路由器上，在 192.168.8.1 完成 GL.iNet 的初始设置，在 Throughwire 账户里生成一次性路由器代码，然后用连着这台路由器 Wi-Fi 的 Mac 或 Windows 电脑运行页面上显示的那一条命令。设置过程会自行测试，最后选择线路：推荐洛杉矶，也可以选大阪或新加坡（Ultra）。
  • 基本不用管。 路由器会自动安装经过签名的更新，刷新国内名单，停电后自动恢复连接。

Throughwire 团队版每月 199 美元起，含 400 GB 流量和 50 个团队席位，一张账单，员工在办公室以外也能用手机应用。路由器只需买一次，大多数办公室我们推荐 GL.iNet Flint 2（GL-MT6000）。

晚上往往是办公室最容易发现网络问题的时候。根据我们截至 2026 年 10 月 19 日 30 天的网络数据，在中国晚高峰（19:00 至 23:59），高速线路的中位工作速度是一天其他时段的 98%。晚上的峰值速度更低（中位最高速度晚上 50 Mbps，其他时段 80 Mbps），也就是说日常工作保持稳定，最快的瞬时速度有所下降。详见我们的网络数据页面。

需要说明的是：路由器是在你普通宽带上建立的加密连接，不是运营商电路。Throughwire 没有获得中国主管部门的许可或批准，也不销售跨境专线。

SD-WAN 和云网络适合做什么？

SD-WAN 和云网络用来连接你自己的站点和系统。签约前，先看清每家厂商对中国业务的规定。

阿里云 CEN 跨境连接。 阿里云的常见问题页面写明，跨境服务由中国联通运营，需要提供营业执照、组织机构代码证、经办人有效证件和单位授权书（阿里云帮助中心）。《跨境云专线服务协议》的附件承诺书写明用途为“用于客户内部系统的互联（自用）”，第 4.4 条规定“不得将跨境云专线与互联网相连接”，第 10.3 条禁止转让或转租。所以 CEN 适合连接境内外的云上系统，不适合用来上外网。

SASE 和 SD-WAN 厂商。 Cato 表示其服务在中国可用，但“egressing certain traffic to bypass the Great Firewall of China to a non-China Cato POP violates the Cato MSA”，即把部分流量送到中国境外的 Cato 节点以绕过防火墙，违反其主服务协议（Cato 知识库，2026 年 9 月 23 日更新）。其他厂商也有各自的条款，购买前请直接问清楚。

简单地说：SD-WAN 合同连接的是你的系统，它本身并不意味着员工可以合规地访问 Google 或 Slack。

面向中国客户的系统需要本地云吗？

如果中国的客户或合作伙伴要使用你的网站、应用或门户，就应该部署在中国大陆境内。这和员工如何访问国际工具是两件事。

  • 世纪互联运营的 Azure 与全球版 Azure 相互独立。微软写明“Azure in China regions are disconnected from Azure global regions”（中国区与全球区不互通），并建议把面向中国用户的业务部署在中国区（Microsoft Learn）。
  • Cloudflare 中国网络 运行在由京东云运营的中国大陆数据中心，是面向企业版客户的单独订阅，并要求每个主域名都有有效的 ICP 备案或许可证（Cloudflare 文档）。

本地云对员工访问 Gmail 或 Zoom 没有帮助。

哪种方案适合你的办公室？

按顺序往下看，第一个答“是”的问题，就是你的主要方案。

  • 监管机构、审计方或母公司要求使用持牌运营商线路吗？ 选跨境专线。
  • 需要一条通往境外自有服务器的私有通道吗？ 选专线；如果系统在阿里云上，可以考虑 CEN。
  • 中国客户要用你的网站或应用吗？ 加上本地云和 ICP 备案。
  • 一个 5 到 50 人的办公室，主要用 Google、Microsoft 365、Zoom 和 Slack？ 选办公室 VPN 路由器。
  • 只有两三个人，经常出差？ 选 VPN 应用。

组合使用很正常：办公室 Wi-Fi 用路由器，出差时手机用团队席位上的应用，面向中国客户的网站用本地云。

法律上是怎么规定的？

工业和信息化部 2017 年 1 月 17 日发布的《关于清理规范互联网网络接入服务市场的通知》（工信部信管函〔2017〕32号）规定：“未经电信主管部门批准，不得自行建立或租用专线（含虚拟专用网络VPN）等其他信道开展跨境经营活动。”通知同时要求，基础电信企业向用户出租的国际专线，应“向用户明确使用用途仅供其内部办公专用”（网信办转载的通知原文）。

因此，企业向持牌运营商租用、用于内部办公的专线，是正式认可的途径。其他 VPN 服务不在这一框架之内。Throughwire 没有获得中国主管部门的许可或批准。

公开报道的执法案例主要针对个人。2023 年，河北承德警方没收了一名为境外公司远程工作的程序员 1,058,000 元收入，并处罚款 200 元（中国数字时代）。据人权观察 2026 年 3 月的报道，2026 年 1 月 31 日公布的网络犯罪法草案规定了最高 500 万元的罚款。

我们没有找到企业因员工使用 VPN 而受到处罚的公开案例，但这不代表没有风险。如果公司需要正式意见，请咨询具有中国执业资格的律师。

以上仅为一般性信息，不构成法律意见。

什么情况下 Throughwire 不适合

  • 监管机构、审计方或母公司要求持牌运营商线路。 直接或通过合作伙伴，向中国电信、中国联通或中国移动租用跨境专线。
  • 需要私有访问自己的数据中心。 专线或阿里云 CEN 就是为此设计的。
  • 你要服务中国客户。 需要本地部署和 ICP 备案，这些我们不提供。
  • 只有一两个人短期出差。 只用应用的服务可能更便宜。Astrill 标价单月 30 美元或每年 180 美元，同一家庭内设备数量不限（Astrill 价格页，2026 年 10 月 23 日核对）。
  • 大型园区，有自己的网络团队。 先找运营商，专线覆盖不到的部分再联系我们了解企业版。

常见问题

IEPL 和 IPLC 有什么区别？

两者都是持牌运营商销售的国际专用电路。IPLC 是最底层的专用电路；IEPL 提供同样的私有通道，但交付的是普通以太网接口，更容易接入办公设备。TechDirectory 认为 IEPL 是 2026 年大多数企业的默认选择。

专线和 VPN 路由器可以一起用吗？

它们做的是两件事。专线承载你和境外内部网络之间的流量；VPN 路由器让办公室 Wi-Fi 能使用国际网络工具。如果两者都用，请向法务和合规顾问确认各自的使用方式。

微软建议在中国用 VPN 访问 Microsoft 365 吗？

不建议。对于全球版租户，微软建议使用在中国境外出口的私有网络，表示对 SD-WAN 或 VPN 方案不作推荐，并提醒企业核实监管要求。

用 Throughwire 做办公室路由器要多少钱？

路由器一次性购买，Throughwire 团队版每月 199 美元起，含 400 GB 流量和 50 个席位（2026 年 10 月）。月中可以加购流量，所有付费套餐都有 7 天退款保证。

Throughwire 是持牌跨境专线吗？

不是。Throughwire 是在你普通宽带上运行的加密服务，不是运营商电路，也没有获得中国主管部门的许可或批准。如果需要持牌线路，请向运营商租用。

给 IT 团队的技术细节

  • 运行在 GL.iNet 原厂固件上，无需刷机；也可以作为软件包运行在 OpenWrt 24.10 和 25.12 上（最低 arm64 或 armv7，256 MB 内存）。
  • 路由器运行 sing-box，通过 VLESS-REALITY 在现有宽带上连接我们的服务器。这是叠加网络，不是二层电路。
  • 中国大陆的域名和 IP 段直连，其余流量（包括无法识别的目的地）走 Throughwire。隧道中断时，路由器会拦住流量并自动重连。名单和更新都经过签名校验。
  • Zero-Trust Relay 让你在 Throughwire 内部运行自己的加密层（Tailscale、WireGuard、SSH 或 Cloudflare Tunnel），我们只负责传输，无法访问其中的私密内容。

相关指南