הגדרת ZeroTier לרשת פרטית וירטואלית (שכבת 2)

שילוב ZeroTier לרשת L2 פרטית וירטואלית

לעתים קרובות אנו נתקלים באתגר: חיבור שרתים במרכזי נתונים או עננים שונים (AWS, Yandex Cloud, Selectel) לרשת אחת. VPN סטנדרטי (OpenVPN, WireGuard) פועל בשכבת L3 ואינו מעביר תעבורת broadcast, מה ששובר מערכות ERP ישנות או משחקים. ZeroTier פותר זאת על ידי יצירת Ethernet וירטואלי (L2) דרך האינטרנט.

ZeroTier מממש את הרשת עצמה—צמתים באותה רשת ZeroTier רואים זה את זה כמכשירים בקטע LAN יחיד. בניגוד ל-Tailscale או Nebula (L3 overlay), ZeroTier תומך ב-broadcast ו-multicast, ומאפשר תרחישים שאינם זמינים עם L3 overlay: פרוטוקולים התלויים ב-L2 broadcast, משחקים עמית-לעמית ישירים, ופתרונות אשכול כמו גילוי שירותים של Kubernetes דרך mDNS.

כיצד ZeroTier מבטל בידוד רשת

ZeroTier מסיר את הצורך בתצורות mesh-VPN מורכבות. לכל רשת יש מזהה רשת בן 16 תווים. צומת מצטרף עם פקודה אחת:

# Установка
curl -s https://install.zerotier.com | sudo bash
# Подключение к сети
zerotier-cli join a09acf0233ceff1c
# Статус
zerotier-cli listnetworks
zerotier-cli info

לאחר # Установка curl -s https://install.zerotier.com | sudo bash # Подключение к сети zerotier-cli join a09acf0233ceff1c # Статус zerotier-cli listnetworks zerotier-cli info , הצומת ממתין לאישור ב-Network Controller (ברירת מחדל: my.zerotier.com, או ZeroTier Central באירוח עצמי). תעבורה לא עוברת עד לאישור—הבחנה מרכזית מפתרונות "פתוחים".

השוואה: ZeroTier לעומת Tailscale לעומת WireGuard

ZeroTier מנצח בתרחישים הדורשים תאימות מלאה לפרוטוקול L2. לדוגמה, השתמשנו בו כדי לחבר מספר אתרי 1C: broadcast מפיץ בקשות ARP הנחוצות לפעולת האשכול. Tailscale לא הצליח להתמודד עם זה. ביצועי תעבורת broadcast ב-ZeroTier גבוהים פי שניים—השהייה מתחת ל-5 אלפיות השנייה בגודל ממוצע של חבילה של 1500 בתים.

השוואה: בקר באירוח עצמי לעומת ZeroTier Central

לתשתית ייצור עם יותר מ-25 צמתים, בקר באירוח עצמי משתלם: חיסכון ברישיון מגיע ל-70% בשנה.

מבנה רשת וחיבור

הקצאת כתובות מנוהלת ברמת הרשת. במצב מנוהל, הבקר מקצה כתובות ממאגר מוגדר. דוגמה לתצורת רשת דרך API של ZeroTier Central:

NETWORK_ID="a09acf0233ceff1c" API_TOKEN="<your_token>" curl -X POST "https://my.zerotier.com/api/v1/network/${NETWORK_ID}" \
  -H "Authorization: token ${API_TOKEN}" \
  -H "Content-Type: application/json" \
  -d '{ "config": { "ipAssignmentPools": [ {"ipRangeStart": "10.147.17.1", "ipRangeEnd": "10.147.17.254"} ], "routes": [ {"target": "10.147.17.0/24", "via": null} ], "v4AssignMode": {"zt": true}, "private": true } }'

למה לבחור בבקר באירוח עצמי?

לתשתית ייצור, הסתמכות על שירות חיצוני אינה מקובלת לעתים קרובות. ZeroTier תומך ב-Network Controller באירוח עצמי—תכונה מובנית של הדמון join, המופעלת דרך API. הניסיון שלנו מראה: בקר באירוח עצמי מציע שליטה מלאה באישור ובנתונים.

# Получаем адрес и токен локального контроллера
cat /var/lib/zerotier-one/authtoken.secret
# Создаём новую сеть на локальном контроллере
NODE_ID=$(zerotier-cli info | awk '{print $3}')
curl -X POST "http://localhost:9993/controller/network/${NODE_ID}______" \
    -H "X-ZT1-Auth: $(cat /var/lib/zerotier-one/authtoken.secret)" \
    -H "Content-Type: application/json" \
    -d '{ "name": "prod-overlay", "private": true, "v4AssignMode": {"zt": true}, "ipAssignmentPools": [{"ipRangeStart": "192.168.100.1", "ipRangeEnd": "192.168.100.254"}], "routes": [{"target": "192.168.100.0/24"}] }'

צמתים חייבים להגדיר NETWORK_ID="a09acf0233ceff1c" API_TOKEN="<your_token>" curl -X POST "https://my.zerotier.com/api/v1/network/${NETWORK_ID}" \ -H "Authorization: token ${API_TOKEN}" \ -H "Content-Type: application/json" \ -d '{ "config": { "ipAssignmentPools": [ {"ipRangeStart": "10.147.17.1", "ipRangeEnd": "10.147.17.254"} ], "routes": [ {"target": "10.147.17.0/24", "via": null} ], "v4AssignMode": {"zt": true}, "private": true } }' או zerotier-one כדי להשתמש בבקר שלך כשרת planet (לאתחול). בלעדיהם, הם עדיין זקוקים ל-planet חיצוני מ-ZeroTier Inc. לניווט NAT. ZeroNSD הוא תוסף לפתרון DNS של שמות צמתים בתוך הרשת.

# /etc/sysctl.d/99-zerotier-router.conf
net.ipv4.ip_forward = 1
sysctl -p /etc/sysctl.d/99-zerotier-router.conf

# И разрешить forwarding на zerotier-интерфейсе
iptables -A FORWARD -i ztXXXXXX -j ACCEPT
iptables -A FORWARD -o ztXXXXXX -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE