很多家庭或者小型工作室为了覆盖更大的网络范围、划分不同设备网段，会搭建双路由器级联的网络环境，这种场景下直接在终端开启VPN客户端经常出现连接失败、隧道不通、访问内网资源异常的问题，proton vpn这份指南就围绕双路由器环境VPN的客户端接入方式做全流程拆解，帮用户避开配置坑点，实现稳定的VPN隧道连接。
双路由器级联组网场景，可辅助用户提前排查VPN接入前的网络基础环境
配置前的环境排查前提
首先你得先确认双路由器的级联模式，是二级路由AP模式还是NAT嵌套模式，这两种模式下的双路由器环境VPN接入逻辑完全不一样，很多用户没搞清楚模式就直接配置，大概率会踩坑。
你可以先登录主路由器的后台，查看二级路由器的获取IP方式，如果二级路由是从主路由的LAN口接WAN口，且自身开启了DHCP服务，那就是NAT嵌套模式，两个路由器各自有独立的网段，这种环境下VPN客户端的接入限制最多。如果二级路由是关闭DHCP，WAN口或者LAN口接主路由LAN口，所有设备都处于主路由的同一网段，那就是AP扩展模式，接入逻辑和单路由器环境差异很小。
不同级联模式下的客户端接入配置方法
针对AP扩展模式下的双路由器环境VPN接入，这种模式下所有终端的网关都指向主路由器，你只需要在需要接入VPN的终端上直接安装对应的VPN客户端，按照常规的账号信息填写连接参数即可，不需要修改任何路由器层面的配置。
针对NAT嵌套模式的双路由器环境VPN，第一种最稳妥的接入方式是把VPN客户端所在的终端直接设置为二级路由器的DMZ主机，在二级路由后台的DMZ配置页面填入终端的本地IP，这样VPN隧道的握手数据包不会被二级路由的NAT规则拦截，能大幅提升连接成功率。
如果你的VPN客户端是部署在二级路由器本身，而不是终端上，那需要在主路由器后台开启UPnP功能，proton vpn同时在二级路由器的VPN客户端配置页面，把隧道的MTU值适当调低，避免数据包在两层NAT转发过程中出现分片丢包的问题。
配置完成后的有效性校验步骤
连接VPN客户端之后，首先不要急着访问目标资源，先在终端的命令行工具里ping VPN隧道的远端网关地址，如果能正常得到响应，说明隧道的基础连通性没有问题。
接下来你可以尝试同时访问双路由器环境下的本地内网共享资源，比如主路由下连接的NAS存储、二级路由下的智能设备，确认VPN隧道开启之后不会打断本地局域网的互访，避免出现开了VPN就找不到本地打印机的常见问题。
高频配置误区与故障定位思路
很多用户误以为双路由器环境下要在主路由和二级路由上同时开启VPN客户端，这种操作会导致两层VPN隧道嵌套，不仅会大幅提升连接失败的概率，还会让本地网络的路由表出现冲突，完全没有必要。
如果按照步骤配置之后VPN客户端依然提示握手超时，你可以先把终端直接接在主路由器的LAN口上尝试连接，proton vpn如果此时能正常连通，就说明问题出在二级路由的NAT规则限制上，只需要给对应终端设置静态IP之后再调整端口转发规则即可，不需要反复核对VPN账号密码。
还要注意隐私边界的问题，双路由器环境下开启VPN客户端之后，只有对应终端的流量会走VPN隧道，其他接入两个路由器的设备流量依然走常规公网链路，不要误以为配置一次全网络所有设备的流量都会走VPN。如果需要全网络设备都走VPN隧道，protonvpn只能选择在主路由器层面配置VPN客户端，同时调整二级路由的相关转发规则，才能覆盖所有级联下的设备。
