我有一个半复杂的家庭网络，其中有 DSL 调制解调器/路由器、Netgear 路由器和 TPLink 路由器。
TPLink 路由器有一个永久的 L2TP VPN 连接到 ExpressVPN。此路由器后面的设备通过 VPN 访问互联网。（附图右侧的设备）
Netgear 路由器适用于普通（非 VPN）互联网。
是否可以配置图中的所有三个路由器，以便两个路由器后面的设备可以无缝地相互通信（即无需针对每个要求进行端口转发）？我几乎通过几个静态路由就做到了，但我不得不关闭 NAT 才能使它们正常工作，然后互联网就断了。
一个可行的解决方案将允许设备在 LAN 上互相 ping 通，在所有 TCP/UDP 端口上进行通信，在两个网络上路由广播数据包/请求，但仍然具有“隔离的互联网”（例如，右侧的设备通过 VPN 上网）。
注意：(1) 我无法将 Netgear 变成网桥/AP，因为它使用卫星设备执行无线网状路由。TP-Link 也不能成为网桥，因为我需要它的路由功能来处理 L2TP VPN 隧道。(2) 如果解决方案需要将 TP-Link在后面Netgear，没关系。
找到解决方案！
物理连接路由器，将它们放在同一个网络上，使用自定义 DHCP 来管理谁获得什么网关：
答案1
不是 100% 确定这会起作用，但 95% 确定。编辑很高兴看到，正如原帖所说，这确实有效！
将 Netgear 和 TPLink 的 LAN 接口放在同一个子网中，即都是 192.168.1.* 地址。因此所有设备都在同一个 LAN（局域网）上。
现在是有趣的部分：在每个设备上手动设置“默认路由”（当 IP 不是本地 IP 时使用的路由），将所有使用 VPN 的设备的默认路由设置为 VPN 路由器，反之亦然。
根据所涉及的路由器，您甚至可能能够通过 DHCP 和设备的 MAC 地址向正确的设备发送正确的默认路由。
PS：感谢提供清晰且内容丰富的图表。
编辑如果使用 DHCP，您可能应该在其中一个路由器上禁用它，即选择一个路由器作为“主”路由器，而另一个路由器仅作为直接发送给它的流量的网关。
答案2
可能有多种方法可以做到这一点，但其中一种方法是
（1）确保 TPG 后面网络中的所有设备都具有静态 IP，并禁用其 DHCP 服务器。
(2) 将 Netgear 的 LAN 接口与 TPG 路由器的 LAN 接口连接起来。 (3). 在 TPG 路由器上启动 192.168.1.x 范围内的第二个虚拟接口。 (4). 在 TPG 路由器上设置静态路由，将 192.168.xx 路由到 192.168.1.1，同样在 Netgear 路由器上设置静态路由，将 10.xxx 路由到 192.168.1.NEWIP
这将允许您静态使用 10.x IP 地址来通过 VPN 推送流量，或者为常规 Internet 提供 DHCP 或 192.168 地址。
我曾有些轻率地建议在 TPG 路由器上添加第二个接口。根据路由器的不同，使用默认固件可能无法实现这一点，但是如果您使用 dd-wrt 刷新路由器，则可以使用 dd-wrt 实现。
答案3
你对自己想要的东西设置了许多限制，有些根本就不可能实现。
您希望广播数据包穿越两个网络。这是不可能的。路由器专门隔离广播域。唯一的方法是将所有设备放在同一个网络上。
话虽如此，要达到你想要的效果，就需要对网络进行重大更改。由于看起来你正在使用家用路由器，所以你的选择受到严重限制。也许如果你可以安装替代固件，你的选择会更好。
因此，我会告诉你实现这一目标的最佳方法。
彻底消除其中一个路由器。
没有必要使用两个路由器将一些设备放在 VPN 上。特别是如果您的目标是允许所有设备进行通信。实现此目的的最佳方法是使用支持多个接口的单个、功能更强大的路由器。路由器上的一个端口用于一个网络，另一个端口用于另一个网络，然后您将有一个用于 WAN 的端口。在两个网络之间设置路由，对发往 WAN 的所有数据包进行 NAT，并通过 VPN 路由来自一个网络的所有流量。
假设您不想更换任何设备……
相反，将所有设备连接到同一个路由器并在该路由器上建立 VPN。配置您的 VPN 设置，以便只有特定 IP 范围内的设备使用 VPN。然后，在 DHCP 中为这些设备配置静态 IP 范围。例如，仅192.168.1.200-192.168.1.250通过 VPN 路由 IP 在该范围内的设备。我不确定您的 TPLink 是否支持这一点。我想它会的，因为决定加密哪些流量是任何 VPN 设置的一部分。使用您目前拥有的资源，这可能是您最好的选择。
如果您尝试尽可能接近当前的物理布局，则需要一对一 NAT，即两个网络上的每个设备在 172.16.1.x 网络上都分配有一个唯一的 IP。这还需要调整 VPN 设置。但是，这很复杂，我认为您的任何路由器都不太可能支持这一点。
答案4
我发现有两种可能的情况：
- 禁用内部路由器上的 NAT。由于您在所有 LAN 段之间使用不同的网络，因此这应该没问题。事实上，唯一需要静态路由的路由器是 DSL 路由器，用于解释两个路由器内部的网络。这不会破坏互联网，因为真正需要 NAT 的唯一设备是 DSL 路由器。
或者：
- 在两个内部路由器之间建立桥接，无需 NAT。这可能需要另一个路由器，因为大多数 SOHO 设备不允许你将 LAN 端口用作另一个 WAN 端口。事实上，这种思维过程可能会令人困惑，因为路由器只是将不同的网络连接在一起，它们可以全部是 LAN，也可以全部是 WAN，或者两者的任意组合。您可能能够找到一个旧的 SOHO 设备，您可以使用自定义固件对其进行刷新，基本上使用它来路由流量，而无需任何花哨的功能（例如 NAT、防火墙）。