不少家庭和小型办公场景为了扩大无线覆盖范围，会部署双路由器搭建分层局域网，不少用户在接入VPN之后，经常出现没法正常访问局域网内NAS、共享打印机、本地监控等设备的问题，这篇双路由器环境VPN：局域网访问检查完整操作指南，从基础前提到专项排查逐步拆解操作步骤，帮用户定位绝大多数访问异常的原因。
配置前的基础前提确认
首先要先理清当前双路由器的实际拓扑结构，目前主流的双路由部署模式分为两种，一种是副路由设为AP模式，所有终端都属于同一个局域网网段，另一种是副路由设为二级路由模式，主副路由各自对应独立的局域网网段，不同拓扑对应的排查逻辑完全不同，很多用户没理清拓扑就直接调整VPN设置，后续排查很容易走弯路。
接下来要明确VPN的实际部署位置，确认VPN服务端或者客户端是安装在主路由上、副路由上，还是单独接入双路由网络的终端设备上，不同部署位置对应的权限规则、路由配置逻辑差异很大，要是连VPN的部署位置都判断错误，后续所有检查步骤的方向都会出现偏差。
第一层基础连通性预检查
先暂时关闭所有VPN连接，红梅加速器测试双路由器覆盖下的所有局域网终端能不能正常互访，比如主路由下连接的手机能不能正常访问副路由下挂载的共享存储设备，先排除双路由本身的网段隔离、端口拦截问题，如果没开启VPN的时候都没法正常互访，说明故障根源根本不在VPN配置上，不需要继续往下排查VPN相关设置。
先理清双路由器的实际组网拓扑，才能高效定位VPN局域网访问异常问题。
重新开启VPN连接之后，先测试VPN隧道本身的连通性，比如访问VPN对端的常规公网资源，确认隧道本身没有断流、认证失败的问题，避免后续排查的时候，把VPN隧道本身的连接故障，和局域网访问故障混为一谈，浪费不必要的排查时间。
这一步是双路由器环境VPN：局域网访问检查的核心基础项，需要核对VPN分配的虚拟IP网段，和双路由下的两个本地局域网网段有没有出现地址段冲突，比如主路由本地网段是192.168.1.0/24，副路由本地网段是192.168.2.0/24，如果VPN虚拟网段刚好和其中一个本地网段完全重合，就会直接出现路由寻址混乱，设备根本找不到正确的转发路径。
路由规则与防火墙权限专项检查
先检查部署VPN的那台路由器的静态路由配置，如果VPN服务端部署在主路由上，必须添加指向副路由下所有网段的回程路由，把访问副路由网段的数据包全部转发到副路由的LAN口固定IP上，不然VPN客户端发往副路由下局域网设备的请求，主路由找不到对应的转发路径，就会直接丢弃数据包。
接下来检查双路由器各自的默认防火墙规则，很多出厂默认配置下，副路由的LAN口防火墙会默认拦截来自主路由侧VPN虚拟网段的访问请求，VPN加速器需要手动添加对应的放行规则，允许VPN虚拟网段的所有IP访问本地LAN侧的设备端口，不需要额外配置公网端口映射，避免不必要的隐私边界暴露。
还要检查VPN服务端的推送路由设置，很多用户开启VPN全局代理模式之后，所有访问请求包括本地局域网的访问请求，都被默认转发到VPN对端的外部网络，自然没法访问本地局域网资源，需要在VPN配置里添加本地局域网网段的排除路由，让访问双路由下本地设备的请求直接走本地网关，不需要进入VPN隧道转发。
常见排查误区说明
很多用户遇到局域网访问失败的问题，第一反应就去修改VPN的加密协议、端口参数，实际上绝大多数双路由环境下的这类访问故障，和VPN加密协议没有直接关联，乱改这类设置反而可能导致VPN隧道本身直接断开，VPN加速器完全没必要优先调整这类配置项。
还有不少用户为了快速实现跨网段访问局域网设备，直接把副路由设置为DMZ主机暴露在公网环境下，这种操作会大幅提升整个局域网的安全风险，完全违背了VPN部署时的隐私边界防护要求，属于完全没必要的错误操作，不建议普通用户使用这类方案。
做完所有调整之后，要分不同场景做访问验证，比如分别测试外部网络通过VPN访问本地双路由下的设备，和本地局域网内开启VPN的场景下访问同网段设备，两个场景都验证通过之后，才能确认整体配置符合预期，单次测试通过只能说明当前场景下访问正常，不能直接判定所有使用环境下的访问都没有问题。
