ZeroTier可以在无公网IP的情况下提供便捷的虚拟局域网组网和内网穿透方案。简单来说, ZeroTier就是一个VLAN组建工具，主要有如下的优势和缺点：

• 配置非常简单，只需要在官网创建Network。客户端直接加入Network即可。

• 跨平台: ZeroTier提供了windows, macOS, linux, Android, iOS...几乎全平台的客户端, 你可以把任意平台的设备接入VLAN。

• 免费可以支持100个设备组网。
  

• 缺点：官网只提供英文，没有中文版。

本文中，我将结合WSG上网行为管理网关，介绍如何用ZeroTier来实现远程办公拨入和内网穿透。

1. 创建账号

ZeroTier的配置首先需要在ZeroTier官网上创建账号，如图：

2. 创建虚拟网络

创建虚拟网络后，就可以让各个客户端都加入到该虚拟网络中，并且实现互通互访。如下图，点击“Networks”中的“Create a Network”，就可以创建一个新的网络（需要记录下该Network ID供客户端加入）

配置该网段的IP段等参数，访问控制（Access Control）一般推荐为“私有（PRIVATE）”模式。私有（PRIVATE）模式下，每个终端必须经过授权才可以接入；公开（PUBLIC）模式的话，客户端只需要知道你的Network ID就可以加入，不安全。所以一般推荐用PRIVATE模式。如图：

3. ZeroTier客户端配置

ZeroTier支持的客户端平台非常多，以我们的WSG上网行为管理网关为例，直接在“ZeroTier”模块中，开启ZeroTier并且输入NetworkID即可加入该网络。

下图是用安卓手机的ZeroTier客户端配置。

4. 客户端授权

PRIVATE模式下，客户端加入网络是需要经过授权的。如下图，你需要在官网上在对应的客户端前面打勾才允许该客户端的接入，也可以在此界面给客户端配置固定IP，便于后续的管理。

5. 速度和测试

客户端授权通过后，就可以互联互通了。虽然ZeroTier的官网服务器在国外，但是它自身的通讯是P2P网络。从下图中可以看到ping值还是可以的。

5. 通过zerotier转发内网

开启zerotier后，WSG作为zerotier的一个客户端节点，从zerotier虚拟网络默认只能访问到WSG自身，如果想要通过zerotier访问到整个局域网，还需要添加路由规则和防火墙策略。

在zerotier中，添加到内网的路由表。

WSG的防火墙策略，默认并不转发zerotier的虚拟网数据包。如果允许zerotier的虚拟网接入内网，还需要把zt+的设备加入到“防火墙策略”的“内网区域”中（内网区域的防火墙策略默认允许转发）。如下图：