很多家庭或者小型办公场景会用双路由器搭建分层网络，比如主路由负责拨号接入公网，副路由单独承载IoT设备或者访客网络，这类环境下直接部署VPN经常出现端口映射失效、跨子网无法访问、VPN隧道断连等问题，这份指南从前期排查到逐项核验的全流程实操步骤，帮你在正式部署VPN前把所有前置障碍提前排除，避免后续反复调试走弯路。
双路由器拓扑结构合规性排查
首先要先确认当前双路由的连接模式，这是所有部署准备的基础，常见的错误现象是部署VPN后外部公网完全拨不进内网，很多用户第一反应是VPN配置错了，实际根源是双路由的层级接反了。
逐项检查的第一步是找到直接连接运营商入户网线的设备，确认这台主路由的WAN口是通过PPPoE、DHCP或者静态IP模式直接获取公网地址，不要把主路由接在光猫的下级子路由位置，也不要把两台路由都设为AP模式导致层级边界消失。
检查后的预期结果是，你可以在主路由的状态页看到WAN口获取的IP地址，和外网IP查询页面显示的公网IP属于同一网段，且副路由的WAN口是接在主路由的LAN口下，副路由自身的LAN网段和主路由的LAN网段完全不重叠。
端口映射与DMZ前置权限核验
双路由器环境下VPN部署最常见的前置故障现象是，内网同网段设备可以正常拨入VPN，但是外网设备始终连接超时，大概率是两层路由的端口转发规则没有逐层配置。
先在主路由上做第一层端口映射，把VPN服务需要用到的对应端口，转发给副路由的WAN口固定IP，如果你打算把VPN服务直接架设在主路由下的设备上，就直接转发给对应内网设备的静态IP，不要同时开主路由的DMZ和端口映射，避免规则冲突。
接着进入副路由的配置页，把刚才主路由转发过来的VPN相关端口，再次映射给实际运行VPN服务的硬件或者服务器，同时关闭副路由自带的VPN穿透类限制开关，避免默认规则拦截隧道报文。
子网隔离与路由转发规则预配置
很多用户部署VPN后出现的异常现象是，VPN拨入之后只能访问部署VPN的那台设备，没法跨两个路由器的网段访问其他内网设备，这就是前期没有配置静态路由规则导致的。
先给运行VPN服务的设备配置固定内网IP，不要用DHCP动态分配地址，避免地址租期到期后规则全部失效，接着在主路由的静态路由配置页，添加指向副路由LAN网段的路由条目，下一跳地址填写副路由的WAN口IP。
之后再进入副路由的配置页，添加指向主路由LAN网段的反向静态路由条目，下一跳地址填写主路由分配给副路由WAN口的IP地址，配置完成后用两台分别属于主、副路由网段的设备互相ping测试，确认跨子网可以正常连通。
防火墙与安全组规则预校验
部分双路由环境下会出现VPN连接成功之后，传输数据频繁丢包甚至自动断连的现象，排除端口和路由问题之后，大概率是两层路由的默认防火墙规则拦截了VPN隧道的非标准报文。
先分别进入主路由和副路由的防火墙配置页，暂时关闭SPI深度包检测、防端口扫描这类可选功能，测试VPN的基础连通性，确认部署基础逻辑没问题之后，再逐步放开对应端口的白名单规则，不需要长期关闭防火墙功能。
如果你使用的是运营商提供的光猫路由一体机，还要额外登录光猫的配置页，确认光猫本身没有开启多余的端口限制规则，必要的时候可以把光猫改成桥接模式，完全取消光猫的路由功能，减少中间的转发层级。
所有前期检查步骤全部完成之后，你就可以正式开始部署双路由器环境VPN服务，整个前期准备流程不需要改动现有双路由的网络分区逻辑，既可以保留原本双路由划分不同子网的隐私边界效果，也能避免后续VPN部署过程中出现各类无意义的调试故障。
