不少家庭和小型办公场景会搭建双路由器环境VPN，用来实现部分设备走加密隧道、部分设备走直连公网的分流需求，同时保留两个路由器各自的局域网子网隔离属性，方便区分办公设备和家用IoT设备的权限。但很多用户配置完成后会遇到跨子网设备无法互访、共享文件夹打不开、局域网打印机找不到的问题，这篇实操教程不需要专业网络测试仪，就能一步步完成双路由器环境VPN下的局域网访问连通性检查，精准定位故障点。
双路由器VPN组网场景下开展局域网连通性排查的实操桌面环境
配置前的基础场景梳理与前提确认
我们先对齐最常见的典型部署场景：主路由负责拨号连接公网，内置VPN客户端或者VPN服务端，副路由的WAN口接主路由的LAN口，两个路由器各自独立划分自己的LAN子网，大部分用户的需求是两个子网下的设备可以正常互访，同时指定的公网流量走VPN隧道，局域网流量完全在本地转发。
正式开始检查前，先记录两个路由器的管理后台地址、各自的LAN子网网段，比如主路由默认段是192.168.1.0/24，副路由默认段是192.168.2.0/24，同时把当前两个路由器的VPN配置页面截图保存，避免后续操作误改原有规则后没法回溯。还要临时关闭所有测试终端上安装的第三方代理软件，避免本地自定义路由规则干扰检查结果。
第一层：直连子网的路由转发规则检查
第一步先关闭主路由上的VPN功能，排除VPN规则的干扰，拿一台接在主路由LAN口下的电脑，ping副路由的WAN口地址，也就是主路由通过DHCP分配给副路由的私网IP，正常情况下这个数据包可以正常连通，这一步先确认两个路由器之间的物理链路没有问题，排除网线损坏、端口速率不匹配这类基础硬件故障。
接下来登录主路由的管理后台，找到静态路由配置页面，白熊查看有没有指向副路由子网段的路由条目，条目的下一跳地址必须填写副路由的WAN口IP，如果没有这条规则，主路由收到访问副端子网的数据包之后，会直接把包转发给公网默认网关，数据包根本不可能到达局域网内的副路由。
再登录副路由的管理后台，找到LAN口侧的防火墙设置页面，确认有没有开启“禁止WAN口访问LAN子网”的默认开关，绝大多数家用路由器为了默认安全都会开启这个选项，哪怕主路由和副路由都属于私网范畴，副路由也会把主路由发过来的跨子网访问包直接丢弃，这是双路由器环境下最常见的非VPN类连通性故障点。
第二层：VPN规则下的流量绕行排查
这一步进入双路由器环境VPN的局域网访问检查核心环节，重新开启主路由的VPN功能，查看VPN对应的策略路由配置，很多用户开VPN的时候默认把所有非本地子网的流量都往VPN隧道里转发，副路由的子网属于私网地址，不在路由器默认的本地子网白名单里，白熊VPN就会被误发到公网的VPN远端服务器，数据包根本不会在局域网内部转发，自然没法访问到目标设备。
这时候要把两个路由器对应的所有私网网段，全部加到VPN策略路由的“不走VPN”的例外列表里，保存配置之后等待路由规则刷新，再用主路由下的终端尝试访问副路由下的局域网共享设备地址，确认数据包不会被误导到公网隧道。
反过来也要检查副路由的VPN配置，如果副路由本身也挂载了VPN客户端，同样要把主路由的子网段加到VPN的排除路由列表里，不然副路由下的设备发起访问主端子网的请求，也会被误发到VPN隧道里，没法在局域网内完成转发。
验证结果确认与常见误区规避
完成上述配置之后，可以分别在两个子网下的终端用局域网共享文件传输工具测试传输速度，如果速度符合你的内网带宽预期，就说明连通性完全正常，没有出现局域网流量被绕到公网的异常情况。
很多用户的常见误区是为了省事直接把副路由改成AP模式，但是AP模式下所有设备都处在同一个子网，原本双路由做子网隔离的意义就消失了，反而会让VPN的分流规则乱套，没法实现部分设备走VPN、部分设备走直连的初始需求。
要是完成所有检查之后还是有部分特定端口的局域网服务访问不通，不要直接判定是VPN的问题，可以临时关闭VPN服务再做一次连通性测试，如果关闭之后能正常访问，再去核对VPN服务端的推送路由规则，确认没有把私网网段的路由错误下发给客户端，逐步缩小故障定位的范围就可以解决问题。
