现在很多家庭或者小型工作室为了扩展WiFi覆盖、做设备网段隔离，会搭建双路由器级联的网络环境，不少用户在这类环境下配置VPN客户端接入时，经常遇到连不上、连接后内网资源访问异常的问题，本文就围绕双路由器环境VPN客户端接入方式的落地配置方法，梳理从前期排查到最终调通的全流程实用步骤，避开常见配置误区。
核查双路由器级联模式，梳理VPN客户端接入的前置配置条件
配置前的双路由器网络拓扑核查前提
首先要先明确当前双路由器的级联模式，这是后续所有配置的基础，常见的双路由器部署分两种，第一种是主路由拨号、副路由接主路由LAN口做AP模式，第二种是主路由拨号、副路由WAN口接主路由LAN口做二级NAT模式，旋风两种模式下双路由器环境VPN客户端接入方式的适配逻辑完全不同。
核查拓扑的时候不要只看物理接线，要分别登录两台路由器的管理后台，确认主路由的WAN口是正常获取公网IP或者运营商内网IP，梯子副路由的WAN口如果是动态IP获取，就属于二级NAT模式，如果副路由的WAN口设置为DHCP关闭、LAN口IP和主路由同网段不冲突，就属于AP扩展模式。
不同拓扑下的VPN客户端适配配置步骤
如果你的双路由器是AP扩展模式，配置逻辑相对简单，因为整个网络所有设备都处于主路由的同一网段下，你只需要在需要开启VPN客户端的设备，或者支持VPN客户端功能的路由器上，按照常规的VPN接入流程填写服务商提供的服务器地址、认证账号密码、加密协议参数即可，不需要额外调整双路由的设置。
如果你的双路由器是二级NAT模式，也就是副路由下面的设备单独属于一个私有网段，这时候如果要让副路由下的设备作为VPN客户端接入，首先要登录主路由后台，开启VPN相关的ALG功能，梯子常见的VPN穿透选项比如PPTP穿透、L2TP穿透、IPSec穿透都要全部勾选启用，避免主路由的NAT转发拦截VPN协商报文。
接下来要在副路由的后台，关闭副路由自带的AP隔离功能，旋风同时确认副路由的WAN口获取到的IP地址，和主路由的LAN口网段属于不同的私有网段，不要出现网段冲突的情况，否则VPN客户端发起连接的时候，会出现路由表冲突导致的回包路径异常。
配置完成后的连通性校验方法
配置完所有参数发起VPN连接之后，首先不要直接验证外部网络访问，先检查VPN客户端的连接状态提示，确认没有出现认证失败、协商超时的报错，如果提示连接成功，先查看VPN客户端生成的虚拟网卡获取到的IP地址是否属于VPN服务商分配的合法网段。
接下来做分段连通性测试，首先测试VPN客户端到VPN服务器的连通性，再测试访问公网普通网页的连通性，如果你的需求是通过VPN接入远端的企业内网，还要测试远端内网资源的访问状态，确认没有出现部分网站能打开、部分资源加载失败的异常情况。
双路由环境下VPN接入的常见误区排查
很多用户在配置双路由器环境VPN客户端接入方式的时候，误以为只要在主路由开VPN客户端就能覆盖所有副路由下的设备，实际上如果你的副路由是二级NAT模式，部分品牌路由器的VPN客户端生成的路由规则，不会自动下发到二级网段的设备，这时候需要单独在副路由上配置对应的静态路由规则，指向主路由的VPN虚拟网关。
还有不少用户遇到VPN连接成功之后，自己家里的双路由下的共享打印机、NAS设备无法互相访问的问题，这是因为VPN客户端的默认路由规则把所有流量都导向了VPN隧道，你可以调整VPN客户端的分流规则，把本地私有网段的流量排除在隧道之外，就能恢复本地内网资源的正常访问。
最后要注意，不要随意关闭两台路由器的防火墙功能来适配VPN接入，这样会降低整个本地网络的安全防护等级，绝大多数的VPN接入异常都可以通过调整ALG设置、分流规则来解决，完全不需要关闭基础的网络防护机制。如果调整完所有配置之后依然无法正常连接，可以先把VPN客户端暂时接在主路由的LAN口下测试，排除VPN服务本身的账号权限异常问题。
