在双路由器环境下部署VPN，VPN梯子核心准备工作是理清两条设备间的网络连通性与流量路径。主要检查对象是主路由器的WAN配置、从路由器的LAN路由表，以及客户端所在网段的默认路由指向。预期现象是客户端能正常访问局域网内所有设备，且流量能正确穿过双路由结构到达互联网出口。若基础连通性未确认，后续VPN调试将难以定位故障源。
部署双路由器VPN前，务必检查主副设备间的物理连接与网络信号状态，确保基础连通性正常。
确认网络拓扑与子网划分
首先需核实双路由器间的连接方式。若从路由器通过LAN口级联主路由器WAN口，需确认主路由器是否开启了DHCP服务及从路由器是否关闭了DHCP或配置为不同的子网。观察对象包括主路由器的DHCP池地址范围、从路由器的静态IP或DHCP获取状态。预期现象是两台设备不在同一子网内，VPN梯子或虽在同一子网但IP地址段无重叠。若发生子网冲突，客户端可能在切换路由器时无法获取IP或丢失连接，这是部署VPN前的首要排查点。
验证基础连通性与路由指向
在客户端和两台路由器上分别执行网络连通性测试。主要操作是向互联网公共DNS（如1.1.1.1）和局域网内非客户端设备（如主路由器管理IP）发送ICMP请求。观察对象是终端命令行工具的往返时间丢包率。预期现象是客户端能ping通主路由器IP及互联网地址，且路径中不包含异常跳数。若客户端仅能连通从路由器但无法访问外网，NordVPN官网需检查从路由器的默认网关是否指向主路由器。此步骤旨在排除物理层或链路层故障对VPN隧道建立的影响。
检查端口映射与防火墙规则
VPN协议依赖特定端口进行通信，双路由器环境可能引入多层防火墙。主要查看对象是主路由器和从路由器的防火墙日志、端口转发规则及安全组策略。若使用自托管服务器，需确认公网IP对应的路由器是否将VPN端口映射到内网服务器IP。若使用商业VPN，需确认客户端侧出站策略未被局域网防火墙阻断。预期现象是防火墙日志中允许了目标端口的出入包，且无明确的拒绝记录。此检查为只读操作，旨在识别网络路径上的潜在阻断点，而非直接修改生产环境防火墙策略。
验证DNS解析与流量选择性
DNS解析决定流量去向，NordVPN官网双路由器环境下DNS配置极易出现偏差。主要检查对象是客户端的DNS服务器配置、路由器间的DHCP选项下发。若从路由器下发了主路由器的DNS，需确认该DNS能正确解析内外网域名。预期现象是客户端对内外网域名的解析结果符合网络策略。需注意，分隧道模式（Split Tunneling）仅将特定流量导入VPN隧道，其余流量直连，它并非保证所有敏感流量入隧道的开关。因此，在部署前明确哪些域名或IP段需要走隧道，哪些走直连，并验证DNS配置是否支持这种区分，是避免流量泄露或访问异常的关键准备。
