我为小公司的互联网访问设置了一个普通的路由器/防火墙。我还使用 Netgear VPN 路由器添加了一个单独的 VPN（IPSec）网关。主网关和 VPN 网关有单独的公共 IP 地址，VPN 客户端与家庭办公室 LAN 位于不同的子网（这就是 Netgear 的工作方式 - 我不能将它们与其他人放在同一个子网中）。
问题在于 LAN PC 和 VPN 客户端之间的流量无法正确路由。LAN 客户端可以 ping VPN 客户端，但 VPN 客户端无法 ping LAN 客户端（使用 Wireshark 我看到 ping 可以到达客户端，但客户端无法响应）。
我在主网关上有一个路由条目，用于将所有到 VPN 子网的流量指向 VPN 网关。但是，这似乎不起作用。我发现的唯一解决方案是在 LAN 上的所有 PC 上添加静态路由条目，将它们指向其子网的 VPN 网关。但是，这对于不允许您进行静态路由的嵌入式设备不起作用。
我究竟做错了什么？
以下是所涉及的 IP/子网（为了保护隐私，公共地址是伪造的）：
LAN：192.168.0.0 VPN 客户端：192.168.1.0
LAN 网关：192.168.0.1（WAN：1.1.1.1）VPN 网关：192.168.0.2（WAN：1.1.1.2）
LAN 网关有一条 192.168.1.0 -> 192.168.0.2 的路由
我已部分成功实现每台 PC 都具有 192.168.1.0 -> 192.168.0.2 的静态路由。
编辑：
VPN 网关是 Netgear ProSafe VPN 防火墙FVS338，主网关是 ActiontecMI424-WR（适用于 Verizon FiOS）。
答案1
就像您有一条到主网关的路由，将所有到 vpn 子网的流量指向 vpn 网关一样，您需要一条 vpn 网关中的路由，将所有到主子网的流量指向主网关。
答案2
这是我自己遇到的一个棘手的问题，因此这里有一些信息可以帮助您入门。
Actiontec MI424-WR 用户指南 www.fiberfaq.com/admin/attachments/actiontec_mi424wr_manual.pdf
这是某人的博客的 URL，该人声称可以使其正常工作，但是缺少屏幕截图，因此有点难以理解。
blogs.freebsdish.org/tmclaugh/2008/12/01/verizon-fios-actiontec-mi424wr-and-multiple-subnets/
我本来想将其作为实际链接发布，但 ServerFault 不喜欢我这个新用户，所以现在只允许我发布一个链接。
基本上，他的说法是防火墙过滤规则阻止了部分返回流量，而您所描述的正是我所看到的。流量会从专用网络传出，到达所需的服务器，然后它们会通过网关（即 Actiontec 路由器）做出回应。然后网关就什么也没有了。
我尝试了不少防火墙过滤规则，但结果却令人沮丧，因为用户指南中的文档并没有完全说明这些规则是什么，也没有解释过滤规则默认包含哪些内容。即使在最开放的设置下，它们似乎也已经到位并阻止了一些流量。如果你犯了一个错误，就有可能完全把自己锁在路由器之外（因为它正在过滤你的流量），然后你必须进行出厂重置才能让它重新工作。
最后，我发现可行的解决方案是将 Actiontec 路由器设置为桥接模式。为此，请登录 Actiontec 路由器并转到“我的网络”，然后选择左侧的“网络连接”。然后单击屏幕底部的“高级”按钮以查看 Actiontec 上的所有网络接口。
您需要从 Actiontec 路由器释放 IP 地址，以便您自己的路由器可以获取该地址。否则它将无法工作。为此，请单击相应的“宽带连接”链接，具体取决于您是使用同轴电缆还是以太网进行设置。（在我的路由器上，两者都已连接，但仅使用以太网。我了解到，在大多数情况下，FIOS 使用同轴电缆）。
单击屏幕底部的“设置”，然后您应该会找到一个释放 IP 地址的选项。执行此操作，然后将 Internet 协议更改为“无 IP 地址”。单击“应用”并根据需要接受更改。
现在 IP 地址已释放，您需要将路由器更改为网桥。在连接下，选择“网络（家庭/办公室）”，然后单击“设置”。您将在屏幕顶部附近看到“网桥”一词，其下方有多个网络接口。网络接口左侧有一些复选框。选中您正在使用的适当宽带连接（同轴电缆或以太网）旁边的复选框，并选中 STP 列中的复选框。单击应用并根据需要接受以返回主部分。
如果您还没有这样做，请禁用无线接入点。此外，进入防火墙设置，尽可能以最低安全性禁用它。原因是您要使用的真正路由器应该是负责一切的路由器，而不是 Actiontec。
就是这样。用这个作为桥梁真的很麻烦，但它确实有效。您可能会找到另一种完全绕过它的方法，但我已经遇到这个问题很长时间了，这是我发现的第一个让流量正确路由的方法。防火墙过滤规则可能会起作用，但它们真的很麻烦，而且文档也没有多大帮助。