把第二台路由器当 VPN 网关：它解决不了什么

把第二台路由器放在主路由器后面，是一种干净的做法，让少数设备走另一条出口。人们也常在这里期待设备本身给不了的隔离。主网络保持原来的路径，下游网络则遵循第二台路由器的策略。两者之间发生什么，以及隧道失败时发生什么，才是值得提前规划的部分。

这套做法本身可行。各种说法针对的是它能保护什么。它仍是有用的设计；只是它本身并不是一道安全边界。

误区：第二台路由器能彻底隔离隧道

第二台网关后面的设备遵循它的策略。主网络上的设备不会继承这条隧道，这正是目的。但第二台路由器仍然要经过第一台上行，这条路是必须管理的关系。

第二台路由器还需要 VPN 客户端配置。只接受入站 VPN 连接的功能并不会建立通往服务商的出站隧道。买硬件前先确认固件是否支持客户端模式。

给下游网络一个不重叠的子网。照抄示例网段而不检查现有网络，很容易制造路由难题。

误区：双重 NAT 只是 VPN 自己的封装

两个做路由的网关会产生双重 NAT，这和 VPN 自身的封装是两回事。普通出站流量通常没问题。入站服务访问需要有意的设计，往往要在两台设备上都做端口转发，或者换一种完全不同的做法。

多一层地址转换也让日志更难读。主路由器日志里的源地址可能属于第二台路由器，而不是你正在排查的设备。追查幽灵设备之前，这一点值得先知道。

上电之前先把地址规划写下来。

误区：两个局域网都能上网，发现就能互通

两个网络都能上网，它们之间的发现却可能失败。主 Wi-Fi 上的手机可能找不到 VPN 网关后面的电视，因为组播发现默认不跨越路由边界。如果这很重要，就需要反射器或另一种拓扑。能浏览网页并不证明局域网发现可用。

让第二台路由器的管理界面能从授权路径访问，不要把它发布到 WAN 上。改路由之前先保存两台网关的配置。

除了看得见的出口地址，也要测试 DNS 和 IPv6。只承载 IPv4 的隧道可能泄漏另一族地址。把两项结果都写进变更记录。

第二台网关真正带来的好处

它让范围变得可见。你可以指着一台设备说哪个网络走隧道，而家里其余设备保持普通路径。对许多家庭来说，这份清晰值得多买一台硬件。

它仍是一台需要维护的设备，有凭据、固件和恢复流程。要决定 VPN 失败时下游设备应当停止还是回退，并测试这种行为。网关并不能消除运维工作，只是把它集中起来。pfSense WireGuard 客户端配方介绍了常见平台上的隧道一侧。