很多家庭工作室、小型办公场景都会用到双路由器架构，比如主路由负责接运营商宽带拨号，副路由单独划出子网络存放存储设备或者工作终端，这类环境下直接部署VPN很容易出现端口穿透失败、跨网段访问异常、回包路由错误等问题，这份指南覆盖双路由器环境VPN部署准备阶段的全流程实操步骤，不需要等VPN配置完再反复排查故障，提前做完所有核验就能大幅降低部署出错概率。
双路由拓扑结构的前置核验
首先要明确两台路由器的实际层级关系，常见的双路由架构分两类，一类是主路由直连光猫完成拨号，副路由WAN口接主路由LAN口形成二级NAT，闪电VPN官网另一类是副路由以AP模式挂在主路由下仅做信号扩展，这两种架构的VPN部署前提完全不同，很多用户没提前区分就直接开启VPN服务，最后出现外网完全拨不入的问题。
核验拓扑的同时要分别登录两台路由器的管理后台，查看主路由WAN口获取的IP属性，如果主路由拿到的是运营商分配的CGNAT内网IP，后续就算做完所有端口映射配置，也无法从公网主动发起连接拨入内网VPN，这一步要在部署准备阶段就确认，不要等VPN全配置完才发现核心限制。
还要同步记录两台路由器各自的LAN侧网段，比如主路由默认网段是192.168.1.0/24，如果副路由出厂默认网段和主路由完全一致，后续部署VPN的时候必然会出现路由回包冲突，这时候要提前把副路由的LAN网段修改为不重叠的区间，闪电VPN官网比如192.168.2.0/24，修改完成后重启副路由确认新网段生效。
网络运维人员正在双路由器组网环境中核验拓扑层级、核查WAN口IP属性，提前完成VPN部署前的准备工作
VPN部署载体的选型适配检查
双路由器环境VPN部署准备阶段，不能随意选择VPN的运行载体，很多用户习惯把VPN服务装在副路由下的NAS或者个人电脑上，如果当前是二级NAT架构，外网拨入的请求最多只能到达主路由，没法自动穿透到副路由下的终端，前期选不对载体后续要多做很多冗余配置。
如果你的使用场景是要让外网拨入的设备访问副路由子网络里的所有工作设备，那VPN服务最好直接部署在副路由上，后续只需要在主路由上做一次端口转发就可以完成外网穿透，不需要跨两层NAT做嵌套映射，大幅降低后续配置的复杂度。
如果你的使用场景是要让所有内网设备的外网访问出口都走VPN隧道，那VPN服务要部署在主路由上，这时候要提前检查主路由的固件支持情况，官方固件如果自带VPN服务功能就可以直接使用，不要随意刷入来源不明的第三方修改固件，避免出现设备运行不稳定的问题。
端口映射规则的前置预配置验证
双路由器环境下的端口转发不能只在单台路由器上配置，比如你把VPN部署在副路由下的终端设备上，首先要在副路由的后台，把VPN对应的服务端口，闪电VPN官网比如OpenVPN常用的1194端口，映射给运行VPN的设备的固定内网IP，做完这一步之后再去主路由后台，把同端口映射给副路由的WAN口IP地址。
配置完两层端口映射之后，不要直接开始配置VPN服务，要先做连通性预测试，你可以把测试手机断开家里的WiFi，用移动数据网络访问主路由的WAN口公网IP加对应的服务端口，看能不能得到端口开放的正常响应，如果访问不通，先排查端口映射的配置顺序有没有错误，不要直接去调整VPN的内部参数。
这里要注意常见的配置误区，闪电很多用户为了省事直接给副路由开启DMZ主机，把副路由完全暴露在公网下，这种操作会让副路由子网络的所有设备都失去主路由的防火墙防护，突破原本预设的隐私边界，双路由器环境VPN部署准备阶段不要使用这种偷懒的配置方式。
内网路由规则的预定义梳理
双路由器环境下部署VPN之后，很多用户会出现拨入VPN之后只能访问部署VPN的那台设备，没法访问另一台路由器下的子网络设备的问题，所以在部署准备阶段就要提前在两台路由器上添加静态路由规则，告诉主路由如果要访问副路由的子网段，下一跳地址是副路由的WAN口IP。
添加完静态路由之后，你可以在主路由下接一台测试电脑，ping副路由子网络里的任意一台在线设备的IP，看能不能正常得到响应，如果ping不通就调整静态路由的参数，确保两个子网络的三层连通性正常，后续VPN拨入之后才能跨网段访问所有授权的内网设备。
