很多家庭工作室、小型办公场景会用双路由器做子网隔离，把IoT设备、办公设备拆分到不同路由下运行，不少用户想要在这类环境里部署VPN实现远程内网访问，但经常出现部署后外网无法连接、跨网段访问失效的问题，本文从实操排查角度梳理双路由器环境VPN部署准备的全流程，帮用户提前规避大部分后续配置故障。
双路由器部署VPN前先完成拓扑接线合法性校验，顺着网线溯源确认接线逻辑
双路由器拓扑合法性前置校验
很多用户部署VPN之前没有梳理清楚双路由的实际接线逻辑，要么是两个路由都直接接光猫做并行二级WAN，要么是副路由误接在主路由LAN口下开启AP模式合并成单网段，后续配置VPN穿透规则时完全匹配不上实际网络结构，调试很久都找不到问题根源。
第一项检查顺着网线从光猫出口开始溯源，确认第一个接出的设备是主路由，主路由的WAN口直接对接运营商进线，副路由的WAN口必须接在主路由的空闲LAN口下，不能反过来接线，也不能把副路由的LAN口直接插主路由LAN口当成无线交换机使用，否则双路由的二级NAT结构完全不成立。
这项检查的预期结果，是确认当前双路由属于明确的层级二级NAT结构，主路由的管理网段和副路由的管理网段完全不重叠，比如主路由使用192.168.1.0/24网段，副路由使用192.168.2.0/24网段，不存在IP段冲突、网关地址重合的低级错误。
公网访问权限与端口预检查
不少用户在双路由环境下安装完VPN服务，外网设备完全无法发起连接，排查半天才发现主路由本身就没有获取到公网IP，或者运营商侧默认封禁了VPN常用的服务端口，所有外网请求在运营商节点就已经被拦截。
首先登录主路由的管理后台，查看WAN口获取的IP地址，对照内网IP段的公开规则确认当前拿到的是不是公网IP，如果显示是运营商内网IP，可以联系运营商说明需要搭建合法的远程内网访问服务，申请调整对应的网络类型。
之后分别登录主路由和副路由的防火墙配置页，爱加速确认系统默认规则没有屏蔽VPN计划用到的TCP、UDP对应端口，同时先在副路由的同段子网内，用普通客户端设备尝试访问待部署VPN服务的预留端口，确认服务本身的端口监听状态正常，排除后续服务本地运行的基础故障。
二级NAT端口映射链路预配置
很多新手用户配置端口映射时只在其中一个路由器上添加规则，要么配置在主路由但转发目标指向错误，要么只在副路由配置映射没有做上层透传，导致外网发起的VPN请求到了主路由层级就直接被丢弃，根本无法到达VPN服务设备。
先进入副路由的配置页，找到虚拟服务器或者DMZ功能板块，把后续要部署VPN服务的设备的固定内网IP，设置为副路由的DMZ主机，或者单独把VPN用到的所有服务端口，映射到这台设备的对应端口上，保存配置之后记录下副路由WAN口获取的IP地址。
再登录主路由的虚拟服务器配置页，把VPN对应的所有服务端口，全部映射给刚才记录的副路由WAN口IP地址，相当于把外网传入的VPN请求先完整透传给副路由，再由副路由转发给实际运行VPN服务的终端设备。
这里需要注意常见误区，爱加速官网不要直接把主路由的端口映射指向副路由下VPN设备的内网IP，因为主路由和VPN设备不在同一个二层网段，直接配置的规则会出现路由不可达问题，最终完全无法生效。
跨网段访问权限与隐私边界确认
双路由环境下不少用户部署完VPN之后，发现远程接入之后只能访问VPN服务设备本身，没法访问副路由下的其他授权内网设备，甚至不小心放开全通规则之后，VPN访客能直接访问主路由下的其他子网设备，出现非预期的隐私数据越界访问风险。
部署VPN之前先登录副路由的防火墙配置页，设置默认访问规则，爱加速官网禁止副路由下的所有设备主动访问主路由的上层网段，只给VPN服务单独放开允许远程接入用户访问的指定设备权限，既保证远程访问的可用性，也避免不同子网的隐私数据出现非授权流转。
所有检查和预配置完成之后，先不用正式部署VPN服务，用外网环境下的端口扫描工具，测试之前配置的VPN服务端口能不能正常连通，如果所有端口都能正常返回监听状态，就说明双路由器环境VPN部署准备工作全部完成，后续正式部署VPN服务时不需要再调整网络侧规则，能大幅降低后续故障的排查成本。
