很多家庭或者小型工作室为了覆盖更大范围的网络、划分内外网权限，会搭建双路由器的局域网环境，这时候要部署VPN实现远程访问内网资源，前期准备工作没做足的话很容易出现端口映射失效、VPN隧道拨号失败、内网设备互访异常等问题，本文就梳理全流程的实操要点和容易踩的坑，帮用户把部署前置环节的问题全部排查完毕，避免后续正式配置的时候反复返工。
工作人员核对双路由器组网层级，逐一排查VPN部署前的各项前置准备要点
双路由器拓扑结构的前置确认
首先要先理清当前双路由器的层级关系，常见的双路由拓扑分两种，第一种是主路由拨号、快狗VPN办公网络连接副路由做AP模式下联所有设备，第二种是主路由拨号、副路由开启独立DHCP形成二级子网，两种拓扑的VPN部署准备逻辑完全不同，不能直接套用单路由的配置思路。
确认拓扑的时候可以先登录主路由的后台，查看内网设备列表里能不能直接识别到副路由的WAN口IP，如果主路由的设备列表里看不到副路由下挂的终端，快狗就说明当前是二级子网的隔离拓扑，后续的端口转发、规则配置都要跨两层路由做透传，不能只在单台设备上调整参数。
网络层连通性预检查
双路由器环境下做VPN部署准备，首先要确认主路由的公网IP属性，登录主路由的WAN口信息页，查看获取到的IP地址不属于内网保留段，如果是运营商分配的内网IP，要先联系运营商调整网络配置，不然后续外部网络无法主动发起VPN连接请求，所有端口映射配置都会完全失效。
接下来要做跨路由的端口连通预测试，先把后续要用来跑VPN的终端临时放到主路由的一级子网里，用端口扫描工具确认对应VPN服务端口可以正常被局域网其他设备访问，确认服务本身没有配置错误之后，再把设备移回副路由的子网里做后续配置，快狗VPN办公网络连接避免后续排查问题的时候分不清是VPN服务本身故障还是双路由转发规则出错。
端口映射与转发规则的配置要点
如果当前双路由是二级子网的拓扑，部署VPN之前要先在副路由上做一级转发，把VPN服务需要用到的所有端口，全部映射到下挂VPN服务器的终端固定IP上，注意要给VPN服务设备手动设置静态IP，不能用DHCP动态分配地址，避免IP变动之后映射规则莫名失效。
完成副路由的端口映射之后，再去主路由的后台做二次转发，把对应端口映射到副路由的WAN口固定IP上，如果部分老旧型号的主路由不支持多端口的分层映射，也可以直接给副路由开启DMZ全地址暴露，把副路由的所有端口流量全部透传到副路由的WAN口，这种方式不需要逐个配置端口，适合临时调试场景使用。
防火墙与权限边界的规则梳理
双路由器环境下部署VPN之前，快狗VPN办公网络连接要分别关闭主路由和副路由自带的VPN相关额外拦截规则，不少默认固件的路由器会在VPN ALG功能之外开启多余的数据包过滤机制，会把VPN隧道的协商数据包直接丢弃，导致外部设备拨号的时候一直卡在身份验证环节，很难定位具体故障点。
还要提前梳理隐私和访问权限的边界，如果你的双路由环境里有单独划分的IoT设备子网，不要把VPN的访问权限开放到IoT子网的网段，避免远程接入的陌生设备直接访问到智能摄像头、智能家居的控制权限，出现非预期的隐私泄露风险。
部署前的预验证与常见误区规避
全部配置完成之后不要直接在陌生外网环境尝试拨号，先在当前局域网下用手机断开WiFi，用移动数据网络尝试发起VPN连接，测试隧道能不能正常建立，能不能正常访问到双路由环境下的指定内网资源，确认连通性符合预期之后再做后续的权限细化配置。
很多用户在双路由器环境VPN部署准备阶段的常见误区，是直接在副路由上开启VPN服务，却没有调整主路由的转发规则，最后出现内网可以正常拨入VPN、外网完全无法访问的情况，遇到这类问题可以优先检查两层路由的端口映射规则的IP指向是否正确，不需要直接重置所有设备的配置。
