很多家庭或者小型工作室为了扩展无线覆盖范围、隔离不同权限的内网设备，会搭建双路由器级联的网络环境，但直接在这类环境里部署VPN经常出现端口映射失效、内网网段冲突、VPN隧道莫名断连的问题，所以部署前的前置配置排查远比VPN服务本身的参数设置更重要，很多前期没注意的细节会导致后续VPN连接后无法访问指定内网资源，甚至出现跨网段的路由环路。
双路由器拓扑的链路属性确认
首先要先明确你当前的双路由器是哪种级联模式，是主路由负责拨号、副路由接主路由LAN口当AP用的桥接模式，还是副路由接主路由WAN口做二级NAT的路由模式，两种模式下VPN部署的前置要求完全不一样，很多用户没搞清楚自己的拓扑就直接开VPN服务，VPN下载大概率会出现外部设备拨入之后找不到内网资源的问题。
双路由器VPN部署前，技术人员正在核对级联拓扑模式排查配置隐患
验证拓扑的方式也很简单，分别登录两个路由器的管理后台，黄鸭查看主路由分配给副路由的地址类型，如果副路由的WAN口获取到的是主路由LAN网段下的私网地址，那就是二级NAT模式，如果副路由关闭了DHCP、WAN口处于未接线状态所有LAN口都和主路由LAN打通，那就是桥接AP模式，两种模式后续的配置方向完全不同。
内网网段冲突排查
这一步是双路由器环境VPN部署准备里最容易被忽略的环节，很多用户默认两个路由器的管理网段都是出厂预设的常见私网段，只要两个路由器没改网段，就会出现地址池重叠，后续VPN拨入之后分配的虚拟地址段很容易和任意一个路由器下的内网设备地址撞车，直接导致路由转发逻辑混乱。
排查的时候要分别导出主路由、副路由的DHCP地址池范围，同时提前规划好VPN服务后续要分配的虚拟客户端地址段，三个地址段必须完全错开，比如主路由用192.168.1.0/24，副路由就改成192.168.2.0/24，VPN虚拟地址段规划成10.0.0.0/24，从根源上避免跨网段转发的地址冲突问题。
端口映射与UPnP规则的前置校验
如果你的双路由器是二级NAT模式，想要部署的是支持外部公网访问的VPN服务，就不能只在接VPN服务端的那台路由器上做端口映射，必须先在主路由上把对应VPN协议的端口映射到副路由的WAN口地址，再到副路由上把同端口映射到VPN服务端的内网设备地址，两层端口映射都配置正确才能让外部的VPN连接请求顺利穿透两层NAT。
如果你用的是IPSec、WireGuard这类常用VPN协议，不要同时在任意一层路由器上开启UPnP功能和手动端口映射，两种地址转发规则共存很容易出现端口占用冲突，导致VPN服务启动失败，配置完成之后可以用同一内网下的其他设备尝试访问VPN服务端口，先验证内网侧的端口可达性，再做外部公网的连通性测试。
跨路由器的静态路由预配置
很多用户部署VPN之后，外部拨入的设备只能访问VPN服务端所在路由器下的设备，没法访问另一台路由器下的内网资源，本质就是部署准备阶段没提前配置好跨路由器的静态路由规则，比如VPN服务端架设在主路由下，就要在副路由上添加静态路由规则，把VPN虚拟地址段的所有访问请求都指向主路由的LAN口网关地址。
反过来如果VPN服务端架设在副路由下，就要在主路由上添加对应的静态路由，把VPN虚拟网段的请求指向副路由的WAN口地址，配置完成之后可以分别从主路由下的设备ping副路由下的设备，再ping提前规划好的VPN虚拟网段的测试地址，确认路由转发路径没有环路，也没有被路由器的默认防火墙规则拦截。
还要注意部署准备阶段不要随便开启双路由器里任意一台的VPN穿透开关，部分老旧路由器的VPN穿透规则只会放行默认协议的隧道流量，反而会拦截你自定义配置的VPN隧道报文，全部前置配置完成之后，先不要急着启动VPN服务，把两个路由器的会话连接表清空，再逐台验证规则的生效状态，就能规避绝大多数双路由器环境下VPN部署后的常见故障。
