很多家庭和小型工作室会部署双路由器VPN架构，主路由负责普通设备联网，副路由挂载VPN客户端给特定设备使用，这种场景下经常出现跨路由的局域网共享、NAS访问失败的问题，很多用户排查的时候找不到头绪，本文就把双路由器环境VPN场景下的局域网访问检查全流程拆解成可落地的实操步骤，覆盖前置确认、连通性初检、规则排查、故障定位全环节，帮用户快速定位访问异常的根因。
双路由器VPN环境的基础配置前提确认
首先要先理清当前的网络拓扑，梯子目前最常见的部署模式是主路由WAN口接运营商宽带，主路由的LAN口用网线连接副路由的WAN口，副路由开启VPN客户端模式，所有接入副路由LAN口的设备流量都会走VPN隧道，主路由下的设备走普通公网，这种双NAT的结构是绝大多数用户的部署形态，不少用户没理清拓扑就直接调整配置，很容易越改越乱。
接下来要确认两个路由器的内网网段不能重叠，比如主路由默认网段是192.168.1.0/24，副路由就不能使用同一段192.168.1.0/24的地址池，不然两个路由的转发规则会直接出现冲突，后续所有跨网段的访问请求都没办法正确转发，这是所有访问检查的前置条件，如果发现网段重叠，要先修改副路由的LAN口地址段，梯子重启路由之后再往下执行后续检查。
用户在双路由器VPN部署环境下，通过笔记本开展局域网连通性排查工作
这一步还要提前记录好两个路由的管理后台地址、各自分配的内网网段、副路由WAN口从主路由获取到的IP地址，把这些信息整理在记事本里，后续配置静态路由的时候可以直接调用，避免反复切后台查看参数浪费时间。
第一层直连局域网访问连通性初检
先分别在两个路由器的客户端列表里各选一台测试设备，比如主路由下的台式机IP是192.168.1.12，副路由VPN下的笔记本IP是192.168.2.25，云帆先让两台设备分别ping自己所属路由的网关地址，确认设备本身的内网连接没有问题，先排除设备本身网卡故障、WiFi信号差连接异常的低级问题。
接下来先测试同路由下的设备互访，比如主路由下的台式机ping同网段的NAS存储，副路由下的笔记本ping同网段的智能摄像头，确认各自所在的单局域网内部访问是完全正常的，如果同网段的设备都访问失败，问题根本和双路由VPN架构无关，先排查单路由的内网DHCP配置、AP隔离设置就可以。
这一步还要进入挂载VPN的副路由管理后台，查看VPN客户端的运行状态，确认VPN隧道是已经正常连通的，没有处于断线重连、认证失败的异常状态，避免后续检查把VPN本身离线的问题误判成局域网访问故障，浪费不必要的排查时间。
跨路由局域网访问的针对性规则检查
接下来要检查副路由的WAN口访问权限设置，很多品牌的副路由默认开启了WAN口防攻击、禁止从WAN口访问LAN的选项，这时候主路由下的设备要访问副路由下的内网设备，相当于从副路由的WAN口方向发起访问请求，直接就被默认规则拦截，要先把这个限制选项手动关闭，才能放开跨网段访问的基础权限。
然后检查双路由的静态路由配置，要在主路由里添加指向副路由下192.168.2.0/24网段的静态路由，下一跳地址填写副路由的WAN口IP，也就是主路由分配给副路由的那个LAN侧地址，这样主路由下的设备发往副路由网段的数据包，才会正确转发到副路由，不会直接被当成公网数据包往运营商网关丢弃。
反过来如果需要副路由VPN下的设备也能正常访问主路由下的局域网资源，还要在副路由的VPN策略路由设置里，添加规则把主路由对应的整个内网网段排除在VPN引流范围之外，不然访问主路由内网的请求会被策略路由转发到VPN远端的服务器，根本回不到本地局域网，这是很多用户最容易踩的配置坑。
访问验证与常见误区排查
配置完所有规则之后先做基础的ping测试，用主路由下的设备ping副路由下的测试设备IP，如果能正常返回响应就说明三层连通性已经没问题，接下来再测试具体的应用层访问，比如访问Windows共享文件夹、NAS的管理页面、内网监控的直播流，看能不能正常加载内容。
如果ping测试不通，云帆就顺着访问路径用系统自带的traceroute命令逐段追踪数据包的转发路径，看数据包是在主路由环节就丢包，还是到了副路由之后被丢弃，如果在主路由就丢包大概率是静态路由配置参数写错，如果到了副路由之后丢包，基本就是副路由的WAN口访问限制没有完全关闭。
很多用户误以为挂载VPN之后所有内网访问的数据包都要走VPN隧道，实际上本地局域网互访的数据包根本不需要经过VPN远端服务器，只要把本地所有内网网段的引流规则排除在VPN策略之外，就不会出现访问绕路的问题，也不存在所谓的VPN加密影响局域网访问速度的情况。
整个检查流程不需要额外的专业网络工具，只用系统自带的ping、traceroute命令和路由器后台的配置页就能完成，排查的时候从底层连通性往上层应用逐步验证，就能快速定位双路由器环境VPN场景下的局域网访问异常问题，不需要随便重置整个网络配置导致之前的VPN配置全部丢失。
