ARTICLE · 1161124
ZeroTier 安装与配置完整教程
ZeroTier 是一款虚拟组网软件，可以让不同地点的电脑、服务器组成一个虚拟局域网。不需要公网 IP，也不需要配置传统 VPN 服务器，就可以实现跨互联网的远程访问。
一、ZeroTier 的工作原理
示意 IP，仅用于本教程。Central 负责网络管理与授权；设备间尽可能直接建立加密连接，无法直连时可能经中继。
ZeroTier 的特点：
跨地区组网：公司、家庭、外地电脑可以互联。 支持 Windows、Linux、macOS、Android、iOS 等系统。 可以直接通过虚拟 IP 访问 SSH、远程桌面及 Web 服务。 不需要给服务器开放公网 SSH 或 RDP 端口。 可以通过配置路由，让远程电脑访问整个公司局域网。
二、创建 ZeroTier 虚拟网络
先访问：
管理控制台：ZeroTier Central https://central.zerotier.com/ 软件下载：ZeroTier 官方下载 https://www.zerotier.com/download/ 官方操作文档：Quickstart https://docs.zerotier.com/quickstart/
进入控制台，注册或登录账号，创建一个 Network。
建议采用以下配置：
注意：10.10.10.0/24 是示例网段，必须确保不与现有公司内网、家用路由器或其他 VPN 网段冲突。
创建以后会得到一个 16 位十六进制 Network ID，例如：
8056c2e21c000001
这只是示例，实际操作要替换成你自己创建的 Network ID。
三、Debian 12 / Debian 13 安装
1. 更新系统并安装依赖
sudo apt update
sudo apt install -y curl gnupg ca-certificates
2. 安装 ZeroTier
官方提供自动安装脚本：
curl -s https://install.zerotier.com | sudo bash
此脚本会配置 ZeroTier 软件源并安装服务。生产服务器如果有变更审计要求，可以先下载、检查脚本，再执行。
3. 启动服务和设置开机启动
sudo systemctl enable --now zerotier-one
查看服务运行状态：
sudo systemctl status zerotier-one
查看 ZeroTier 节点状态：
sudo zerotier-cli status
正常情况下可看到类似：
200 info a1b2c3d4e5 1.16.2 ONLINE
ONLINE 表示节点能够连接 ZeroTier 基础网络。
4. 加入虚拟网络
sudo zerotier-cli join 8056c2e21c000001
返回：
200 join OK
注意，这只表示加入网络的请求已被接受，还需要在控制台授权设备。
5. 查看网络连接状态
sudo zerotier-cli listnetworks
成功授权后，会看到 OK 状态以及分配的虚拟 IP，例如：
10.10.10.3/24
授权之前可能显示 ACCESS_DENIED，属于正常现象。
四、Windows 11 安装
从 ZeroTier 官方网站 https://www.zerotier.com/download/ 下载 Windows 安装包并安装。
安装完成后，在系统任务栏右下角找到 ZeroTier 图标，选择 Join New Network，输入 Network ID，确认加入。
也可以使用管理员 PowerShell 执行：
zerotier-cli join 8056c2e21c000001
如果命令找不到，可以尝试：
& "C:\Program Files (x86)\ZeroTier\One\zerotier-cli.bat" status
具体命令路径以实际安装目录为准。
五、授权设备并配置固定 IP
返回 ZeroTier Central，打开对应网络，找到成员设备（Member Devices）。
给已加入的 Windows 和 Debian 节点分别授权，并建议分配固定的 Managed IP：
上述都是规划示例，不是自动生成的地址。
授权并分配地址后，在 Windows 中测试：
ping 10.10.10.3
测试 Debian SSH：
ssh admin@10.10.10.3
其中 admin 替换为服务器真实用户名。
如果你的 Flask 应用通过 Nginx 监听 80/443，且防火墙允许 ZeroTier 网段访问，就可以使用：
http://10.10.10.3
https://10.10.10.3
访问 Web 应用。HTTPS 如果使用的是域名证书，通过 IP 访问可能出现证书名称不匹配的问题，正式使用建议配置内部 DNS 或对应域名。
六、进阶配置：远程访问公司整个局域网
如果你只是访问安装了 ZeroTier 的 Debian 服务器，前面的步骤已经足够。
但如果你希望在家中通过 Windows 11 访问公司里的 ERP、WMS、SQL Server管理系统，而这些设备不能安装 ZeroTier，就需要设置 ZeroTier 网关。
我建议在公司内部署一台 Debian 虚拟机作为专用网关。
企业内网示意架构，IP 地址需要根据实际网络调整。
1. 开启 Debian IP 转发
sudo tee /etc/sysctl.d/99-zerotier-router.conf >/dev/null <<'EOF'
net.ipv4.ip_forward=1
EOF
sudo sysctl --system
检查是否生效：
sysctl net.ipv4.ip_forward
正常结果：
net.ipv4.ip_forward = 1
2. 添加 Managed Route
在 ZeroTier Central 中找到：
Network → Settings → Managed Routes
添加：
这样，远程 ZeroTier 客户端就知道访问公司内网时应该经过 Debian 网关。
3. 配置网关 NAT
假设：
公司内网网卡为 ens18 ZeroTier 网卡为 ztxxxxxxxx ZeroTier 网段为 10.10.10.0/24 公司内网网段为 192.168.1.0/24
先运行 ip -br addr 查看真实网卡名，再调整以下命令：
LAN_IF=ens18
ZT_IF=ztxxxxxxxx
sudo iptables -A FORWARD -i "$ZT_IF" -o "$LAN_IF" \
-s 10.10.10.0/24 -d 192.168.1.0/24 \
-j ACCEPT
sudo iptables -A FORWARD -i "$LAN_IF" -o "$ZT_IF" \
-m conntrack --ctstate RELATED,ESTABLISHED \
-j ACCEPT
sudo iptables -t nat -A POSTROUTING \
-s 10.10.10.0/24 -d 192.168.1.0/24 \
-o "$LAN_IF" -j MASQUERADE
注意：以上命令用于理解和测试基本 NAT 方案。若服务器已经运行 nftables、UFW 或其他防火墙，需要先检查现有规则，避免冲突。
测试成功后可以安装 iptables-persistent 保存规则。
官方也推荐使用三层路由方式连接物理网络与 ZeroTier 网络。
对于生产环境，我建议进一步按设备 IP、目标端口做访问控制，不要默认让 ZeroTier 客户端访问全部 ERP、数据库和工控设备。