在双路由器环境中，配置备份与回退的核心不是复制所有设置，而是隔离“接入层”与“VPN控制层”状态。当主路由器故障或VPN协商失败时，备用路径应能迅速接管互联网连接，同时根据预定义策略决定流量是直连还是进入隧道。备份必须包含路由表项、流量选择器规则及证书文件，shadowrocket缺一不可，否则回退后可能因策略缺失导致部分流量漏出或无法重新建立安全通道。
定义配置作用域边界
双路由器通常采用主备模式，其中主路由器负责PPPoE拨号与NAT，副路由器作为VPN终端或上游网关。备份时需明确哪些配置属于“始终生效”（如静态路由、基础接口参数），哪些属于“条件触发”（如VPN启动后的动态路由注入）。若将二者混同，回退操作可能意外切断正常业务流量。建议在主副路由器上分别导出配置，并标注版本时间戳，确保恢复时能识别差异，避免将旧版本的过期证书应用到新设备上。
验证流量路径一致性
备份的有效性强依赖于对流量路径的可观测性。执行只读检查时，应在内网终端发起测试流量，观察主路由器上的ARP表项与路由表，确认默认网关指向正确。对于VPN连接，检查 IKE 会话状态及路由注入情况，确认哪些前缀被导向隧道接口。若备用路由器接管后，发现原本应走隧道的流量直连公网，说明流量选择器（Selector）配置缺失或未同步。此时不应盲目重启设备，而应比对备份文件中的 ACL 或 Policy Based Routing 条目，小火箭加速确认回退脚本是否遗漏了关键策略。
双路由器配置备份：隔离接入层与VPN控制层，确保回退时的流量路径一致性。
建立安全的回退机制
回退策略应避免“全量重置”，因为这会破坏正在进行的 VPN 会话并可能清空本地缓存。推荐采用增量恢复：仅替换故障相关的 VPN 配置模块，保留现有的互联网连接状态。操作前需确认备用路由器的 DHCP 服务或静态 IP 分配方案与内网终端兼容，防止因地址冲突导致大面积断网。若回退后 VPN 仍无法建立，检查日志中的认证失败或路由黑洞错误，重点比对证书序列号与 CA 信息是否匹配。记住，单次连接成功不代表所有业务流量均已正确路由，小火箭加速必须通过分隧道（Split Tunneling）场景下的多点测试来验证完整性。
