本地部署即时通讯方案：网络与终端条件怎么核对

本地部署即时通讯方案的上线时间，经常被两个问题拖住：客户端连不上服务器，或者部分终端装好却登录不了。服务器配置只是其中一环，真正要提前核对的是用户从哪个网络访问、经过哪些设备、端口有没有放行，以及手上的电脑和手机是否在支持范围内。

我习惯把核对顺序倒过来：先从终端和访问路径往服务器查，而不是先盯着服务器参数。下面按网络形态、访问路径、端口、带宽、终端和上线验证六步展开，每一步都给判断标准和验证动作。

本地部署的两种网络形态

喧喧IM的安装文档给出两种网络环境。一种是服务器具备公网 IP，客户端通过公网访问；另一种是企业只允许内网访问，服务器不连接外网，所有客户端只能在企业内网访问。这两种形态决定后续所有核对项，不能等装完再改。

核对维度	公网 IP 方案	纯内网方案
客户端从哪里访问	公网可达的服务器地址	企业内网
服务器是否需要出网	具备公网 IP	不连接外网
适合的场景	有分支、移动办公或外部访问需求	数据边界严格，终端都在内网
重点核对	公网暴露面、访问控制、带宽	内网网段、离线分发、外部依赖

这里容易混淆的是，本地部署不等于断网运行。服务器放在企业机房、但给它一个公网 IP，仍然属于本地部署，只是客户端可以从公网访问。纯内网方案的限制更硬，所有客户端都必须在内网里。先把这个问题定下来，再谈端口和终端。

如果现有架构想把服务端放在内网、再通过 DMZ 映射给外网访问，需要单独确认。官方部署说明列出的网络方案只有公网 IP 和纯内网两种，没有把 DMZ 映射列为其中一种。选型阶段把这句话问清楚，比实施阶段返工更省事。

关于私有化部署的整体形态，可以参考 私有化部署页面；具体网络分支仍以安装文档为准。

本地部署不等于断网运行，公网 IP 方案和纯内网方案的运维边界不同。

网络核对从访问路径开始

选定网络形态后，先把访问路径画出来。一条完整的路径通常包括：终端所在的网段、经过的交换机或无线网络、防火墙或安全组、服务器地址，再到消息中转服务。任何一段没有打通，客户端都会表现为连不上或频繁掉线。

核对时至少覆盖三类位置：

• 总部办公网：有线、无线各找一台代表终端。
• 分支或异地办公点：如果有，单独确认专线、VPN 或其它接入方式。
• 移动端：确认手机连接的是哪个网络，是否真的能访问内网服务器。

客户端登录时要填写服务器地址。这个地址在每个网络里都要能访问，使用域名时还要确认 DNS 解析结果一致。办公网如果有代理、上网行为管理或安全网关，让网络管理员确认这些策略不会拦截客户端到服务器的长连接。这里不是只看网页能不能打开，而是看客户端能不能稳定保持连接。

通过标准可以写得很具体：从每个代表性网段，记录源 IP、目标地址、端口和测试结果；换一台终端再测一次。只在服务器本机测试没有意义，因为服务器自己访问自己，通常能通，不能代表客户端侧没有问题。

服务器能通，不等于每个网段、每类终端都能稳定接入。

端口与防火墙要同时核对

喧喧IM的消息中转服务部署后，服务器需要开启11443和11444端口，协议为TCP。这两个端口要同时放行，不能只开一个。具体配置可以对照 防火墙开启喧喧使用端口文档操作。

实际项目里，端口经常只改了一处。需要同时检查三个位置：

• 服务器自身的防火墙：Windows防火墙的入站规则，或Linux的iptables规则。
• 网络侧的防火墙或ACL：总部、分支、专线两端的策略都要看。
• 云服务器的安全组：如果服务器放在云上，安全组没放行，本机防火墙开了也没用。

放行之后做两步验证。先在服务器上确认端口处于监听状态，常用命令是netstat；再从客户端侧用telnet或nc测试目标地址和端口。两步都通过，才能说明链路和端口都没有问题。测试不通时，按“服务器进程→本机防火墙→网络设备→云安全组”的顺序排查，不要一上来就重装服务。

从运维角度，管理后台更适合只在内网或受控网段访问，不建议直接暴露到公网。业务端口和管理入口的访问范围分开规划，后面做审计和权限收敛会轻松很多。

端口放行要在服务器、网络设备和云安全组三处同时确认，只改一处常出现“本机通、客户端不通”。

带宽按并发方式估算

带宽不要按注册人数拍脑袋。文本消息占用的带宽很小，真正拉开差距的是音视频会议和大文件传输。喧喧IM官方给出的参考口径是：音频会议每人约0.5Mbps，音视频会议每人约1Mbps，音视频服务器建议带宽8Mbps以上。

可以按下面的顺序估算：

1. 统计峰值时段同时开音频、视频会议的人数。
2. 音频人数乘0.5Mbps，视频人数乘1Mbps，再把两部分的带宽叠加。
3. 加上文件上传、下载和消息同步的余量。
4. 用服务器出口带宽去对，不要用办公室宽带的总标称值去对。

举个例子，20个人同时开视频会议，按每人1Mbps计算就是20Mbps，已经超过8Mbps的建议下限。如果同一时间还有人传图纸、视频或安装包，出口带宽还要留出余量。具体留多少没有统一公式，要看附件大小、上传频率和业务高峰的持续时间。

服务器配置也有参考值。官方安装文档给的是5000人以下规模的参考标准：业务服务端xxb内存16G以上、CPU 8核以上；消息中转服务端xxd内存16G以上、CPU 8核以上；音视频服务器CPU 8核以上。超过这个规模，不能直接套用，需要单独做容量评估。

带宽要按并发路数和附件流量叠加，注册人数不能直接当并发数。

终端条件看系统版本与安装权限

终端核对经常被简化成“有没有客户端”，真正要确认的是三件事：目标系统在不在支持范围、用户能不能装上、装好后能不能连到服务器。

终端类型	官方支持范围	核对重点
Windows	Windows 10、Windows 11	是否还在旧系统；是否有安装权限
macOS	macOS 10.8以上	系统版本；安装包来源
Linux	Ubuntu 12.04、Debian 8、Fedora 21或更高版本	发行版和版本；依赖库
浏览器	最新版Chrome、Firefox、Edge、Safari	浏览器版本；能否访问部署在自己服务器上的Web端
移动端	iOS、Android	应用获取方式；手机网络能否访问服务器

Windows XP不在支持范围内。如果办公环境里还有旧终端，要么升级系统，要么改用浏览器端，具体能不能替代，要看业务对客户端功能的要求。浏览器端适合不方便安装软件的终端，但浏览器版本要跟得上，太旧的浏览器不要指望能正常使用。

安装权限也要提前问清楚。有些单位由桌面支持统一推送软件，有些单位允许员工自行安装，还有些终端做了应用白名单。纯内网环境更要注意安装包来源：应用市场通常不可用，客户端安装包需要提前下载，再通过内部渠道分发。

登录方式同样属于终端核对的一部分。桌面端要填服务器地址和账号密码；移动端填相同的服务器地址、账号和密码，也可以扫码登录。服务器地址换了、账号还没开通，终端再新也登不进去。

客户端和安装包的获取方式，可以看 下载页。页面同时列出了Windows、macOS、Linux和浏览器端的支持范围，移动端提供独立应用。

终端核对不是看有没有客户端，而是看系统版本、安装权限和登录地址是否同时满足。

纯内网部署多查三件事

如果选的是纯内网方案，除了前面的网络和终端核对，还要多查三件事。

第一件是离线分发。服务器安装包、各平台客户端、授权文件都要在有外网的机器上提前准备好，再拷贝进内网。授权文件需要在官网注册并完成认证后申请，审批通过再导入服务端。临时去找安装包，往往比部署本身更耽误时间。

第二件是移动端能不能用。纯内网方案里，所有客户端只能在内网访问，手机只有在能访问内网服务器的网络里才能登录。外网直接访问、消息推送和自动更新能不能用，不要按公网方案的经验默认，要在目标网络里实际测一遍。

第三件是外部依赖。音视频会议、移动推送、自动升级这些能力，在不同产品上的外网依赖并不一样。上线前把外网断开，在内网真实环境里逐项验证登录、消息、文件、音视频和系统通知，比看功能清单可靠。具体步骤可以参考 无外网环境的企业，即时通讯软件怎么部署。

纯内网方案要把离线分发和外部依赖验证写进上线清单，不能等装完再试。

以喧喧IM为例对照配置

前面讲的是通用核对项，下面以喧喧IM为例，把配置落到具体产品上。喧喧IM由禅道软件（青岛）集团有限公司研发，定位是企业级即时通讯与协同平台，支持私有化部署、全链路加密和信创适配，分为开源版和专业版。它的部署结构适合拿来对照前面的核对项：业务服务端xxb负责数据存储和管理接口，消息中转服务端xxd负责通信和文件传输，音视频会议需要单独的音视频服务器。

网络侧，官方给出公网 IP 和纯内网两种方案；端口侧，消息中转服务需要放行11443和11444 TCP；终端侧，客户端覆盖Windows、macOS、Linux、iOS和Android，另有浏览器端，Windows XP不在支持范围。官方提供Windows和Linux一键安装包，服务端配置按5000人以下规模给出了参考值。

这些条件能直接落到核对表里，但不要把它们当成通用答案。服务器规模、网络边界、终端范围和是否需要信创适配，仍要按企业实际情况确认。对数据留在企业内、内网部署或信创适配有明确要求的组织，可以把喧喧IM放进候选；只需要基础内部聊天、没有这些约束的组织，公有云方案可能更省事。

喧喧IM的核对项可以按官方文档落地，但规模、网络边界和终端范围仍要按企业实际环境确认。

上线前做一次端到端验证

配置对照完，收尾要做一次端到端验证。找一间会议室，用真实终端、真实网络和真实账号，把用户每天会用的动作走一遍。

核对项	通过标准	验证动作
网络路径	每个代表网段都能访问服务器地址	总部有线、无线、分支、移动端各测一次
端口	11443、11444 TCP可达	服务器看监听，客户端用telnet或nc测试
带宽	峰值并发下音视频和文件传输不阻塞	按峰值人数开会议，同时传一个常用大小的附件
终端	目标系统版本都能安装并启动	每个系统找一台真实设备安装
登录	桌面端、移动端、浏览器端都能登录	用真实账号登录，移动端再试扫码
消息与文件	文字、图片、文件能收发，历史消息能同步	多端互发，换设备查看记录
音视频	会议能加入，声音、画面、共享正常	按实际会议规模试一场
纯内网	断外网后核心功能仍可用	断开外网，重复登录、消息、文件、会议测试

验证记录要留下来。哪台终端、哪个网段、哪个账号、什么时间测的，通过了还是没通过，出了问题怎么处理的，都写清楚。上线后出现争议，这张表比口头确认有用。

部署和升级的具体操作可以对照 安装升级手册。手册解决的是怎么装，网络和终端条件要在装之前核对完。

端到端验证要用真实终端和真实网络，服务器本机测试不能代替。

常见问题

端口都放行了，为什么只有部分终端连不上

先按终端所在网段分组排查。同一网段能通、另一个网段不通，优先看网络侧ACL、专线策略和DNS；只有某类终端不通，再看系统版本、代理设置和客户端安装是否完整。服务器本机能通，不能说明所有客户端侧链路都正常。

纯内网部署，安装包和授权文件怎么进去

在有外网的机器上提前下载服务端安装包、各平台客户端和授权文件，再通过企业允许的介质或内部文件通道拷贝进内网。授权文件需要先在官网注册并完成认证后申请，审批通过再导入。上线前把后续升级包的传递方式也定下来，避免每次升级都临时找路径。

5000 人以上，是不是直接加服务器就行

不能只按人数加机器。先收集峰值在线、消息发送峰值、附件月增量和会议并发路数，再判断是加内存、加带宽还是拆分服务角色。官方安装文档给的是5000人以下参考配置，超过这个规模要做单独容量评估。