二级网络访问这个问题，在我去年的项目中遇到过。当时一级网络想要访问二级网络里面的主机，尝试了多种方法，最后都不行。主要原因是没有场地方的主路由账号密码。
最近在另一个项目中有实现这个功能，记录一下。
先看图：
从上图可以得知，设备1现在的网段是.0，设备3的网段是.1，它们两个网段不一样，但设备3可以ping通设备1的ip，可设备1却不能ping通设备3的ip。
这是因为路由器2是来源于路由器1的，根在路由器1，那么作为枝叶的路由器2下的设备，想要访问根，是可以一级一级往上解析到达。
可以作为根的路由器1，想要访问作为枝叶的路由器2下的设备，它就不知道怎么去找了。
所以此时，需要在路由器2的管理页面，打开虚拟服务器或者DMZ主机。
比如，设备1想要访问设备3的某个网页，那么就需要在路由器2的虚拟服务器中指定虚拟服务器的ip为设备3的ip（也就是192.168.1.10）。然后添加端口映射，假设设备3的网页端口为9999，那么端口映射就为：外部端口9999，内部端口9999。
这时，再在设备1中打开浏览器，输入: http://192.168.0.30:9999 那么就能打开设备3的网页了。
为什么上面虚拟服务器指定的ip明明是设备3的ip，但是实际访问的却是路由器2的ip呢？为什么不应该访问： http://192.168.1.10:9999 呢？
最开始都说了，根不能访问枝叶，枝叶可以访问根。所以要让根设备访问枝叶设备，也就是.0网段访问.1网段，那么解析入口必然是.0网段中的某个设备，相当于路由2作为了一个解析入口。
在路由器2中设置虚拟服务器，其实就是相当于把路由器2替换成了设备3，那么设备3就等同于处在.0网段了，那么设备1也就可以访问设备3了。