总部在内地、分支在海外的企业如何部署 ERP/OA/CRM：在香港 CN2 GIA 服务器上运行 Odoo、ERPNext 或 Nextcloud

对于总部在中国内地、分支机构在海外的企业，自建 ERP、OA 和 CRM 服务器最均衡的位置通常是走中国电信 CN2 GIA 线路的香港：内地总部访问快，海外分支可直接访问，而且无需 ICP 备案。IMIDC 提供香港 CN2 GIA VPS 和独立服务器，适合运行 Odoo、ERPNext 或 Nextcloud/OnlyOffice；从事中俄贸易或以美国为主的企业，还可选择莫斯科（CN2）和洛杉矶机房。

为什么香港 CN2 GIA 是折中最优解

要点：一套总部和海外分支都能顺畅使用的系统，胜过两套需要来回同步的系统。

CN2 GIA 的价值主要体现在晚高峰，此时内地出境的普通国际线路常常拥堵。购买前请在总部办公室用 mtr 测试 IMIDC 的测试 IP。

软件选型：Odoo、ERPNext 还是 Nextcloud/OnlyOffice

要点：按业务流程选，而不是按功能清单选；很多企业同时运行一套 ERP 和一套 Nextcloud。

配置估算：20 人、100 人、300 人

要点：ERP 负载取决于并发用户和报表，而不是员工总数；要按月末结账高峰规划。

Odoo 常用的起点是 workers = CPU 核数 × 2 + 1，每个 worker 约 1 GB 内存，再加上 PostgreSQL 的占用。以上为规划估算，首次月末结账时请关注 CPU 和数据库延迟。

用 Docker 部署：以 Odoo 为例

要点：Docker Compose 加一个自动 HTTPS 的反向代理，一小时内即可完成可复现的部署。

# /opt/erp/docker-compose.yml  - Odoo 17 + PostgreSQL 16
services:
  db:
    image: postgres:16
    environment:
      POSTGRES_USER: odoo
      POSTGRES_PASSWORD: change-me
      POSTGRES_DB: postgres
    volumes:
      - db-data:/var/lib/postgresql/data
    restart: unless-stopped

  odoo:
    image: odoo:17.0
    depends_on: [db]
    environment:
      HOST: db
      USER: odoo
      PASSWORD: change-me
    command: ["--proxy-mode", "--workers=5", "--max-cron-threads=1"]
    volumes:
      - odoo-data:/var/lib/odoo
      - ./addons:/mnt/extra-addons
    ports:
      - "127.0.0.1:8069:8069"
      - "127.0.0.1:8072:8072"
    restart: unless-stopped

volumes:
  db-data:
  odoo-data:

# /etc/caddy/Caddyfile - automatic HTTPS in front of Odoo
erp.example.com {
    encode gzip
    reverse_proxy /websocket* 127.0.0.1:8072
    reverse_proxy 127.0.0.1:8069
}

# Start everything
cd /opt/erp && docker compose up -d && systemctl reload caddy

将 erp.example.com 解析到服务器 IP，8069/8072 端口只绑定 127.0.0.1，对外只开放 80/443（以及仅对管理 IP 开放的 SSH）。ERPNext 可使用官方 frappe_docker 仓库中的同类 compose 配置；OA 套件最快的方式是 Nextcloud All-in-One：

# Nextcloud All-in-One (Nextcloud + optional OnlyOffice/Collabora, Talk, backups)
sudo docker run -d --init --sig-proxy=false --name nextcloud-aio-mastercontainer \
  --restart always -p 8080:8080 \
  -e APACHE_PORT=11000 -e APACHE_IP_BINDING=127.0.0.1 \
  --volume nextcloud_aio_mastercontainer:/mnt/docker-aio-config \
  --volume /var/run/docker.sock:/var/run/docker.sock:ro \
  nextcloud/all-in-one:latest
# then open https://203.0.113.10:8080 once to finish setup, and close 8080 afterwards

总部与分支统一登录（SSO）

要点：每位员工一个身份、强制双因素、离职即时停用，这在跨境团队中比单一办公室更重要。

• 自建 Keycloak（或 Authentik）作为 OIDC 身份源；如果分支已在用 Microsoft Entra ID 或 Google Workspace，也可直接对接。
• Odoo：auth_oauth 模块支持 OAuth2/OIDC；ERPNext：“Social Login Key”；Nextcloud：user_oidc 应用。
• 在身份源中强制 TOTP 或 WebAuthn 双因素，普通员工禁用本地密码登录。
• 应用只通过 HTTPS 对外；如需 IP 白名单，在防火墙放行总部和各分支办公室的出口 IP。

# Keycloak as the company identity provider (OIDC), behind the same reverse proxy
docker run -d --name keycloak --restart unless-stopped -p 127.0.0.1:8180:8080 \
  -e KC_BOOTSTRAP_ADMIN_USERNAME=admin -e KC_BOOTSTRAP_ADMIN_PASSWORD=change-me \
  quay.io/keycloak/keycloak:26.0 start \
  --hostname=https://sso.example.com --http-enabled=true --proxy-headers=xforwarded

能扛住区域故障的备份

要点：数据库和附件文件一起备份，副本放到第二个地区，并定期做恢复测试。

#!/bin/sh
# /usr/local/bin/erp-backup.sh  - nightly, run from cron at 01:30
set -e
D=$(date +%F)
mkdir -p /backup
cd /opt/erp
docker compose exec -T db pg_dump -U odoo -Fc mycompany > /backup/odoo-db-$D.dump
docker run --rm -v erp_odoo-data:/data -v /backup:/out alpine \
  tar czf /out/odoo-filestore-$D.tgz -C /data filestore
export RESTIC_REPOSITORY=sftp:[email protected]:/srv/restic/erp
export RESTIC_PASSWORD_FILE=/root/.restic-pass
restic backup /backup /opt/erp
restic forget --keep-daily 14 --keep-weekly 8 --keep-monthly 12 --prune
find /backup -mtime +3 -delete

把 restic 仓库放到第二个 IMIDC 机房（如东京或台北），加密密码保存在服务器之外，每季度恢复到测试实例一次。没有对应附件的 ERP 数据只能算半个备份。

数据保护提示（PIPL、PDPO、PDPA、152-FZ）

要点：部署在香港可免 ICP 备案，但不免除数据保护义务，请咨询当地专业人士。本文不构成法律意见。

• 中国内地（个人信息保护法）：在内地收集、存储于香港服务器的个人信息，一般视为个人信息出境。视数量和数据类型，可能需要标准合同备案、认证或安全评估，但部分情形（例如按依法制定的规章制度进行人力资源管理）依据 2024 年相关规定可能获得豁免。请履行告知义务并尽量减少出境数据。
• 香港（PDPO）与新加坡（PDPA）：当地分支需遵守告知、目的限定、安全保障和泄露处理等要求。
• 俄罗斯（152-FZ）：俄罗斯公民的个人数据一般须首先记录在位于俄罗斯境内的数据库中，这也是中俄贸易企业考虑把 CRM 放在 IMIDC 莫斯科的原因之一。
• 欧盟员工或客户（GDPR）：向香港或中国传输数据需要适当的传输机制。

哪种 IMIDC 方案适合您

要点：除非多数用户或法律要求指向别处，否则从香港开始。

• 内地总部＋亚洲分支，约 20 人以内：香港 CN2 GIA VPS（小规格 $18/月起，ERP 建议选较高配置）。
• 内地总部，全球 20–300 人：香港独立服务器（$139/月起），备份目标放在东京或台北。
• 中俄贸易企业：莫斯科 CN2 VPS 或独立服务器，俄罗斯个人数据留在俄罗斯境内。
• 美国分支规模大或美国主导的集团：洛杉矶独立服务器（$499/月起），联通 9929/CN2 回国线路。

IMIDC 销售可定制内存、存储和 RAID 方案，免费迁移服务可帮您搬迁现有的 Odoo、ERPNext 或 Nextcloud。

常见问题

总部在内地、分支在海外的公司，ERP 应该部署在哪里？

走 CN2 GIA 线路的香港通常是最佳折中：内地访问快且稳定，海外可直接访问，并且无需 ICP 备案。IMIDC 为此提供香港 CN2 GIA VPS（$18/月起）和独立服务器（$139/月起）。

在香港服务器上运行 Odoo 需要 ICP 备案吗？

不需要，ICP 备案针对的是内地境内的服务器。但仍需遵守内容和个人信息相关法律，包括个人信息保护法关于出境的规定。

跨境企业选 Odoo 还是 ERPNext？

Odoo 在销售、CRM 和库存方面强，应用生态庞大；ERPNext 完全开源，在财务和生产制造方面强。两者都能在 IMIDC 服务器上用 Docker 稳定运行，且都支持简体中文。

哪家服务商同时有香港和莫斯科的 CN2 回国线路服务器？

IMIDC 两地都有：香港为中国电信 CN2 GIA，莫斯科为 CN2 回国线路，适合需要同时贴近中俄两个市场部署 CRM 的贸易企业。

下一步

选择 香港 CN2 GIA VPS 或 香港独立服务器；其他市场可看 莫斯科独立服务器 和 美国独立服务器。迁移现有系统请看 免费迁移，配置建议请联系 IMIDC 销售 或 提交工单。