不少家庭用户和小型工作室出于扩展WiFi覆盖、隔离内外网段的需求会搭建双路由器级联网络，这类场景下普通单路由环境的VPN客户端接入规则往往会出现连接超时、握手失败、流量回包异常的问题，这份指南围绕双路由器环境VPN的客户端接入方式给出可落地的操作步骤，不需要修改第三方固件就能完成配置，覆盖绝大多数常见的双路由拓扑场景。
双路由器环境VPN接入的前置排查条件
操作前首先要理清自己当前的双路由拓扑，最常见的两类拓扑分别是“主路由WAN口接光猫拨号、梯子软件LAN口接副路由WAN口”的双独立网段模式，以及“副路由LAN口接主路由LAN口、关闭副路由DHCP服务”的AP扩展模式，两类拓扑的VPN接入逻辑完全不同，先确认拓扑再操作可以避免绝大多数的无效配置。
接下来要确认你使用的VPN客户端类型，不管是系统自带的L2TP、IPsec，还是第三方客户端的OpenVPN协议，都不需要额外修改客户端的核心参数，只需要调整双路由的转发规则即可，同时要确认你持有两台路由器的后台管理权限，提前关闭主路由上已经开启的全局VPN插件，避免后续规则冲突。
典型的双路由器组网环境下调试VPN接入的操作场景
终端直连副路由网段的VPN客户端接入配置
这类双路由器环境VPN的客户端接入方式，适合副路由下的设备需要独立走VPN通道、不影响主路由下其他设备网络的场景，比如工作室里运营部门的设备全部接副路由，需要连指定VPN节点，行政部门的设备接主路由正常访问公网。
配置时先登陆副路由的管理后台，找到DMZ主机设置项，把安装VPN客户端的终端的固定内网IP设置为DMZ主机，同时打开副路由的UPnP功能，允许VPN相关的服务端口自动映射，不需要手动逐一开放端口，反而能避免手动配置的端口冲突问题。
配置完成后回到VPN客户端的本地网络设置，不要使用系统自动获取的默认网关，手动把终端的网关指定为副路由的LAN口IP，不要指向主路由的内网IP，这是很多用户配置后连接失败的核心原因，VPN握手后的回包流量会因为网关指向错误被主路由的防火墙拦截。
跨主路由网段的VPN客户端透传配置
这类接入方式适合VPN客户端设备直接接在主路由网段下，需要走专门部署的副路由做VPN中转的场景，不需要修改所有终端的网关参数，适合不想改动现有内网设备配置的用户使用。
操作时先登陆主路由的管理后台，找到静态路由配置页面，新增一条路由规则，目标地址填写你要连接的VPN服务器的公网IP，下一跳地址填写副路由的WAN口IP，白鲸保存规则后刷新主路由的路由服务即可，不需要改动副路由的其他设置。
配置完成后要确认主路由没有开启任何策略路由类的插件功能，这类插件往往会优先覆盖手动添加的静态路由规则，导致发往VPN服务器的流量没有走指定的副路由下一跳，最终出现握手超时的问题。
接入完成后的验证方法与常见误区排查
接入配置完成后不要直接以VPN客户端的连接成功提示作为最终验证标准，先打开终端的本地路由表查看规则，Windows系统可以用route print命令查看，macOS和Linux系统可以用route -n命令查看，确认发往VPN服务器的数据包的下一跳和你之前设置的地址一致。
很多用户操作时的常见误区是为了VPN连接顺畅直接关闭两台路由器的所有防火墙规则，实际上完全不需要这么做，只需要在两台路由器的WAN口防火墙设置里，允许ESP协议和AH协议的通行权限即可，全关防火墙反而会把内网的其他设备暴露在公网风险中。
如果配置完成后VPN客户端频繁出现断线重连的问题，梯子软件优先排查两台路由器的内网网段是否设置冲突，比如主路由的LAN网段是192.168.1.0，副路由的LAN网段也不小心设置成了相同的段，就会出现VPN流量回包路由错乱的问题，把其中一台路由器的LAN网段修改为不重叠的其他网段即可解决。
