Настройка ZeroTier для виртуальной приватной сети (VPC)

Настройка ZeroTier для виртуальной приватной сети

Мы часто сталкиваемся с задачей: объединить серверы в разных дата-центрах или облаках (AWS, Yandex Cloud, Selectel) в единую сеть. Обычные VPN (OpenVPN, WireGuard) работают на L3 и не пропускают broadcast-трафик, что ломает старые ERP-системы или игры. ZeroTier решает эту проблему, создавая виртуальный Ethernet (L2) поверх интернета.

ZeroTier виртуализирует саму сеть — ноды в одной ZeroTier-сети видят друг друга как устройства в одном LAN-сегменте. В отличие от Tailscale или Nebula (L3 overlay), ZeroTier поддерживает broadcast и multicast, что открывает сценарии недоступные для L3 overlay: протоколы, зависящие от L2 broadcast, прямые игры, кластерные решения (например, Kubernetes service discovery через mDNS).

Как ZeroTier решает проблему сетевой изоляции?

ZeroTier устраняет необходимость в сложных mesh-VPN конфигурациях. Каждая сеть имеет 16-символьный Network ID. Узел присоединяется одной командой:

# Установка
curl -s https://install.zerotier.com | sudo bash
# Подключение к сети
zerotier-cli join a09acf0233ceff1c
# Статус
zerotier-cli listnetworks
zerotier-cli info

После join узел ожидает авторизации в Network Controller (по умолчанию — my.zerotier.com, или self-hosted ZeroTier Central). До авторизации трафик не проходит — это ключевое отличие от «открытых» решений.

Сравнение: ZeroTier vs Tailscale vs WireGuard

ZeroTier выигрывает в сценариях, где нужна полная совместимость с L2-протоколами. Например, мы использовали его для объединения нескольких площадок с 1С: через broadcast распространяются ARP-запросы, необходимые для работы кластера. Tailscale с этим не справился. Производительность broadcast-трафика в ZeroTier выше в 2 раза — задержка менее 5 мс при среднем размере пакета 1500 байт.

Сравнение: Self-hosted контроллер vs ZeroTier Central

Для production-инфраструктуры с более чем 25 нодами self-hosted контроллер окупается: экономия на лицензиях достигает 70% в год.

Структура сети и подключение

Назначение IP управляется на уровне сети. В managed-режиме контроллер раздаёт адреса из настроенного пула. Пример конфигурации сети через API ZeroTier Central:

NETWORK_ID="a09acf0233ceff1c" API_TOKEN="<your_token>" curl -X POST "https://my.zerotier.com/api/v1/network/${NETWORK_ID}" \
  -H "Authorization: token ${API_TOKEN}" \
  -H "Content-Type: application/json" \
  -d '{ "config": { "ipAssignmentPools": [ {"ipRangeStart": "10.147.17.1", "ipRangeEnd": "10.147.17.254"} ], "routes": [ {"target": "10.147.17.0/24", "via": null} ], "v4AssignMode": {"zt": true}, "private": true } }'

Почему стоит использовать self-hosted контроллер?

Для production-инфраструктуры зависимость от внешнего сервиса часто неприемлема. ZeroTier поддерживает self-hosted Network Controller — это встроенная функциональность демона zerotier-one, активируемая через API. Наш опыт показывает: self-hosted контроллер даёт полный контроль над авторизацией и данными.

# Получаем адрес и токен локального контроллера
cat /var/lib/zerotier-one/authtoken.secret
# Создаём новую сеть на локальном контроллере
NODE_ID=$(zerotier-cli info | awk '{print $3}')
curl -X POST "http://localhost:9993/controller/network/${NODE_ID}______" \
  -H "X-ZT1-Auth: $(cat /var/lib/zerotier-one/authtoken.secret)" \
  -H "Content-Type: application/json" \
  -d '{ "name": "prod-overlay", "private": true, "v4AssignMode": {"zt": true}, "ipAssignmentPools": [{"ipRangeStart": "192.168.100.1", "ipRangeEnd": "192.168.100.254"}], "routes": [{"target": "192.168.100.0/24"}] }'

Ноды должны настроить moonConfig или planet чтобы использовать свой контроллер как planet-сервер (для bootstrap). Без этого им всё равно нужен внешний planet от ZeroTier Inc. для NAT traversal. ZeroNSD — дополнение для DNS-резолвинга имён нод внутри сети.

# /etc/sysctl.d/99-zerotier-router.conf
net.ipv4.ip_forward = 1
sysctl -p /etc/sysctl.d/99-zerotier-router.conf

# И разрешить forwarding на zerotier-интерфейсе
iptables -A FORWARD -i ztXXXXXX -j ACCEPT
iptables -A FORWARD -o ztXXXXXX -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE