很多家庭用户、小型工作室为了扩大无线覆盖范围、划分办公设备和访客设备的网络权限，会搭建双路由器级联的网络环境，这类环境下直接部署VPN很容易出现端口映射失效、隧道连通后无法访问内网资源、网段寻址冲突等问题，这份双路由器环境VPN部署准备指南，梳理所有前置校验和配置步骤，帮用户避开部署初期的常见误区，减少后续反复调试的成本。
双路由器拓扑结构确认
部署前首先要明确当前双路由器的工作模式，是二级路由级联模式还是AP桥接模式，两种模式的VPN部署逻辑完全不同，不少用户没理清拓扑就直接开始配置，最后所有规则都不生效。
你可以先登录主路由器的管理后台，查看已连接设备列表，找到副路由器对应的设备条目，如果副路由器的WAN口获取到的IP是主路由器分配的内网网段地址，就属于二级路由模式。
如果副路由器的WAN口没有配置独立IP，所有接入副路由的设备都直接从主路由器获取内网IP，就属于AP桥接模式，后者的VPN部署难度要远低于二级路由模式。
部署VPN前先登录主路由器管理后台，查看已连接设备列表确认双路由的工作拓扑模式
内网网段冲突排查
双路由器环境最容易被忽略的前置问题就是主副路由器的LAN网段重合，绝大多数品牌路由器出厂默认LAN网关都是192.168.1.1，如果两台路由器的内网网段完全一致，VPN隧道建立后会直接出现路由寻址混乱，连入VPN的外部设备根本没法定位到要访问的内网资源。
排查操作非常简单，分别登录主、火苗副两台路由器的LAN口设置页面，记录各自的内网网段，只要两个网段的网络位不重叠，就符合VPN部署的基础要求。
如果排查后发现网段重合，优先修改副路由器的LAN口IP地址，修改完成后重启副路由确认新网段生效，不要直接修改主路由器的网段，不然所有已经连入主路由的设备都要重新获取IP，反而增加不必要的调试工作量。
公网访问权限预校验
如果你要搭建的是支持外部设备远程接入的VPN服务端，首先要确认主路由器拿到了有效的公网IPv4地址，或者运营商分配的可对外访问的IPv6前缀，不然外部网络根本没法主动发起连接请求，VPN服务端就算配置完成也没法正常使用。
校验方式没有复杂操作，先打开主路由器的WAN口状态页面，记录页面显示的WAN口公网IP，再断开当前家庭宽带的WiFi，用手机流量打开公开的IP查询网站，对比页面显示的出口IP，如果两个地址完全一致，就说明你拿到了可用的公网访问权限。
如果两个地址不一致，说明当前宽带处于运营商的内网NAT之下，你可以提前联系运营商申请把宽带从路由模式改成桥接模式，用主路由器拨号获取公网权限，如果没法获取公网IPv4，也可以提前准备合规的内网穿透服务作为替代方案。
端口预留与防火墙规则预配置
双路由器环境下部署VPN，要提前把VPN服务用到的协议端口从主副路由器的DHCP端口预留池中划出来，避免后续路由器自动把这些端口分配给其他内网设备，出现端口映射冲突的问题。
你可以先在主路由器的DHCP设置里，把VPN服务端要部署的设备设置为固定内网IP，避免设备重启后IP变动导致之前配置的映射规则全部失效。
接下来分别进入主副路由器的防火墙设置页面，临时放开VPN对应协议端口的通行权限，火苗加速器官网不要开启最高等级的默认防攻击规则，避免路由器直接把VPN隧道的数据包当成异常流量拦截在外。
所有准备工作做完之后，你可以先在同一个内网环境下，用其他无线设备尝试访问预部署的VPN服务端口，确认内网访问完全正常之后，再去配置外部访问的相关规则，后续就算出现连通问题，也能快速定位问题出在外网映射环节，不用再回头排查内网配置。
