双路由器环境下部署VPN，相比单路由网络多了一层NAT转发的变量，Nord加速器如果前置准备没做足，很容易出现VPN拨号失败、内网设备跨段无法访问、隧道异常断连等问题，这份指南梳理所有必要的前置检查项和准备工作，帮用户避开大部分部署前的隐性坑，不用在配置过程中反复回溯排查底层网络问题。
双路由网络拓扑的基础梳理
很多用户部署双路由的场景，要么是主路由负责运营商拨号、副路由做AP扩展覆盖大户型网络，要么是主路由直接对接公网、副路由单独划分IoT设备网段做隔离，不同的拓扑对应的VPN部署位置完全不同，第一步必须先把两个路由的WAN口、LAN口连接关系理清楚，标记出哪台设备直接对接运营商的公网线路。
梳理双路由器WAN/LAN连接关系、确认网段无重叠，是VPN部署前的必要前置检查项
梳理拓扑的时候还要确认两个路由的LAN网段不能重叠，比如主路由用192.168.1.0/24，副路由就不能使用同网段的地址，不然后续VPN的路由转发规则会出现地址冲突，哪怕部署完VPN也会出现部分设备无法互通的问题，这类隐性冲突排查起来会耗费大量时间。
公网侧与端口映射的前置校验
如果用户打算把VPN服务端部署在主路由上，首先要确认主路由是否能获取到运营商分配的公网IP，或者至少确认运营商没有封禁常用的VPN服务端口，比如OpenVPN的1194端口、VPN下载IPSec协议的500和4500端口，避免后续配置完成后外网始终无法发起隧道协商。
如果VPN服务端要部署在副路由上，必须提前在主路由上做好副路由的DMZ映射，或者针对性做VPN服务端口的端口转发，不能让主路由的NAT转发把VPN隧道的协商数据包拦截，很多用户跳过这一步直接在副路由开VPN服务，最后在外网始终拨不通就是这个核心原因。
双路由设备的固件兼容性检查
不是所有家用路由的默认固件都支持在双路由环境下运行VPN服务，部分运营商定制版的路由会直接屏蔽VPN相关的配置选项，哪怕后续刷入第三方固件也要提前确认两台路由的硬件性能是否能承载VPN的加密转发需求，避免后续出现隧道频繁断连的问题。
如果打算用其中一台路由做VPN客户端，实现整个内网所有设备走VPN隧道的需求，要提前关闭两台路由自带的AP隔离功能，不然双路由下的有线无线设备之间无法互相发现，VPN的流量转发路径会直接断裂，出现部分设备能联网部分设备断网的异常情况。
内网访问权限的边界预设
双路由环境下部署VPN之前，要先明确VPN接入之后的访问范围，是只允许拨入的外网设备访问主路由下的办公资源，还是同时能访问副路由划分的IoT设备网段，提前在两台路由的防火墙规则里做好对应的放行预设，避免部署完之后还要反复调整规则打乱现有网络配置。
很多用户容易踩的误区是，部署VPN之前没有修改两台路由的默认管理密码，也没有关闭远程管理的默认开启选项，VPN隧道打通之后相当于把整个内网的管理端口直接暴露在公网侧，会带来不必要的安全风险，这类低级失误很容易被外部扫描工具探测到。
所有前置准备完成之后，先不要急着开启VPN服务，先在双路由的各自内网段下测试跨路由设备的访问连通性，确认两个网段的转发没有问题之后，再开始部署VPN服务端或者客户端，能把后续故障定位的范围缩小到VPN配置本身，不用再反复排查底层网络的问题。
如果部署的是站点到站点的IPSec VPN，还要提前确认两台路由的WAN口之间没有多层NAT嵌套的情况，不然隧道协商过程中的数据包会被中间节点修改，导致VPN始终无法建立连接，这类问题如果不在部署前排查，后续调试的复杂度会非常高。
