很多家庭或者小型办公场景里会因为覆盖需求、带宽叠加等原因搭建双路由器级联的网络环境，火箭代理这类网络下直接启动VPN客户端经常出现连接失败、隧道断连、内网资源无法同时访问的问题，本文围绕双路由器环境VPN客户端接入方式的全流程配置逻辑，梳理可落地的操作步骤，帮用户避开常见的配置误区，在不改动原有双路由拓扑的前提下稳定实现VPN接入。
配置前的双路由拓扑状态检查前提
首先你需要先理清当前双路由器的级联模式，这是所有配置的基础，常见的双路由环境分为主路由拨号、副路由做AP扩展的桥接模式，和主路由拨号、副路由单独做NAT转发的二级路由模式，两种模式下VPN客户端的适配逻辑完全不同，不要直接套用单路由环境的配置参数。
你可以先登录两台路由器的管理后台，查看副路由的WAN口IP地址，如果该IP和主路由的LAN口IP处于同一网段，说明当前是桥接级联模式，如果副路由WAN口IP属于主路由分配的独立子网段，就属于二级NAT级联模式，不同模式下后续的端口映射、防火墙规则调整方向完全不一样。
桥接级联模式下的VPN客户端接入配置
桥接级联模式下所有终端实际都处于主路由的同一局域网下，双路由器环境VPN客户端接入方式的调整重点不需要改动副路由的任何设置，只需要确认主路由的ALG功能状态即可。
工作人员正在双路由器网络环境下检查级联模式参数，为VPN接入做前置排查
你需要进入主路由的防火墙设置页面，找到VPN ALG相关的开关选项，确认IPsec、PPTP、火箭代理加速器OpenVPN对应的ALG功能都处于开启状态，这类功能的作用是让路由转发VPN隧道的控制报文时不会误拦截，大部分默认开启，但部分精简版固件会默认关闭，手动开启后重启VPN客户端一般就能直接完成连接。
如果开启ALG之后还是连接失败，可以临时关闭主路由的SPI深度检测功能测试，部分厂商的深度报文检测规则会把VPN隧道的加密报文误判为异常流量拦截，临时关闭后如果能正常连接，后续可以把VPN客户端的本地IP加入主路由的防火墙白名单，不需要长期关闭SPI功能。
二级NAT级联模式下的针对性配置步骤
二级NAT级联模式下终端处于副路由的子网内，报文需要经过两次NAT转发，这也是双路由环境下VPN接入故障最高发的场景，配置时需要先调整副路由的相关规则，避免两次NAT破坏VPN隧道的封装结构。
首先进入副路由的管理后台，关闭副路由自身的VPN穿透拦截选项，同时把运行VPN客户端的设备IP设置为静态IP，再给这个静态IP配置全端口的DMZ映射，直接把该设备的所有报文转发权限开放，避免副路由的NAT转换过程修改VPN报文的头部信息。
如果你的副路由不支持DMZ映射功能，也可以选择把VPN客户端常用的服务端口全部做端口映射，不同类型的VPN对应的端口可以在客户端官方说明文档里查到，映射完成后同样需要开启副路由的VPN ALG功能，保证控制报文的正常转发。
配置后的连通性校验与常见误区规避
配置完成之后不要直接使用外网资源测试，先做两步本地校验：第一步是断开VPN的状态下，测试双路由下的其他内网设备是否可以正常互相访问，确认之前的配置没有破坏原有局域网的连通性，第二步是启动VPN客户端之后，先访问VPN服务端侧的内网共享资源，确认隧道建立成功之后再访问公网内容。
很多用户在配置双路由器环境VPN客户端接入方式的时候，会误以为需要同时修改主副两台路由的端口映射规则，实际上二级NAT场景下只需要调整副路由的规则，主路由不需要做任何改动，额外在主路由上添加端口映射反而会造成端口冲突，引发后续的网络异常。
另外还要注意不要同时在双路由环境里开启路由侧的VPN服务和终端侧的VPN客户端，两类服务的路由规则会互相冲突，很容易出现隧道建立之后立刻断连的问题，如果需要同时使用两类VPN服务，建议把其中一个服务部署在单独的旁路由设备上，避免规则冲突。
