コンテンツにスキップ
Blog

ZeroTierでMikroTikを管理する方法

概要
ZeroTierはリモートのMikroTik機器を公開IPや複雑なVPNなしで到達可能にする安全なP2P仮想LANを作成します。本ガイドはインストール、統合、サブネットルーティング、運用のヒントを解説します。

ZeroTierを使ったリモートMikroTik管理

ZeroTierは地球規模に広がるLANのように感じられます。

暗号化されたピアツーピア接続を構築し、各メンバーに内部IPを付与します。

公開IPは不要。
面倒なポート転送も不要。
重たいPKIも不要。

このガイドではMikroTikをZeroTierネットワークに接続し、ローカルサービスを安全に公開する実践的な手順を紹介します。

ZeroTierとは何か？

ZeroTierはVPN、P2P、SD-WANを融合した仮想ネットワークプラットフォームです。

各ノードに仮想インターフェース（通常は zt0）を作成します。

ノードはネットワークIDでネットワークに参加します。

メンバーにはプライベートIPが割り当てられ、安全に通信します。

プラネット／ムーンサーバは探索の補助のみを担当。

トラフィックは可能な限りピアツーピアです。

ZeroTierの仕組み（概要）

  • コントローラー（ネットワーク）: my.zerotier.comまたは独自コントローラーでネットワークを作成・管理。
  • ピア: ZeroTierクライアントを実行しネットワーク参加するデバイス。
  • プラネット／ムーン: 発見と中継の支援サーバ（公開またはセルフホスト）。

ZeroTierはNAT越えを自動処理します。

認証は管理者がウェブコンソールで新規ピアを承認します。

セキュリティモデル

ZeroTierはCurve25519など最新の暗号（認証付き一時鍵）を使います。

各ノードは鍵ペアと40ビットのハードウェア風アドレスを持ちます。

管理者はどのピアが参加可能か制御します。

パブリックコントローラー上でもトラフィックを復号しません。

注意: 完全な運用独立性が必要なら独自コントローラー／ムーンをホストしてください。

簡単セットアップ（サーバー・デスクトップ）

  1. https://my.zerotier.com でアカウントとネットワークを作成。

  2. ネットワークIDを控える（例: 8056c2e21c000001）。

  3. LinuxサーバやVPSにクライアントをインストール：

Terminal window
curl -s https://install.zerotier.com | sudo bash
sudo zerotier-cli join 8056c2e21c000001
sudo zerotier-cli listnetworks

  1. ウェブコンソールで新ノードを承認（Auth? トグルを切り替え）。

  2. zerotier-cli listnetworks で内部IPを確認。

簡単です。

MikroTikにZeroTierをインストール（RouterOS 7.5以降）

MikroTikはRouterOS 7.x用の公式ZeroTierパッケージを提供しています。

手順：

  1. mikrotik.comから対応する zerotier-7.x-<arch>.npk をダウンロード。

  2. .npk をルーターのファイルにアップロードし再起動。

  3. ZeroTierインターフェースを作成しネットワークに参加：

/interface zerotier add name=zt1 network=8056c2e21c000001
/interface zerotier print
  1. ZeroTierウェブコンソールでMikroTikを承認。

statusが connectedなら、ルーターはTailnetに参加しています。

ヒント: RouterOSアップグレード後はZeroTierパッケージも更新してください。

ローカルサブネットの広告とルーティング

ルーターのLAN内デバイスをZeroTier経由で到達可能にしたい場合は、ルートやNATルールを追加します。

方法A — LANのルーティング（可能なら推奨）

MikroTikでローカルサブネットをルートとして告知し転送を許可：

/ip route add dst-address=192.168.88.0/24 gateway=zt1
/ip firewall filter add chain=forward src-address=192.168.88.0/24 dst-address=!192.168.88.0/24 action=accept

ZeroTierピアがこのルートを知るように設定（コントローラー経由の告知や設定での承認）。

方法B — 特定サービスへのdst-nat（限定的かつ安全）

ZeroTierのIP/ポートを内部ホストにマッピング：

/ip firewall nat add chain=dstnat protocol=tcp dst-port=8081 \
    action=dst-nat to-addresses=192.168.88.10 to-ports=80

他のピアから http://<zerotier-ip>:8081 でアクセス可能。

警告: 必要なサービスのみ公開し、広範なルート公開はアクセスを厳密に管理しない限り避けてください。

運用の便利なヒント

  • サイトLANで重複しないプライベートサブネットを選び、ルーティング競合を避ける。
  • ZeroTierコンソールで説明的な名前を付けてルーターを管理。
  • タグやACLでノードをグループ化しアクセス制御を簡素化。
  • 接続トラブルは zerotier-cli 出力やRouterOSログで監視。

よくある問題のトラブルシューティング

  • ノードが REQUESTING_CONFIGURATION で止まる: コントローラー到達とノード承認を確認。
  • ピアツーピア経路なし: DERP中継がトラフィックを代理。性能を確認し、必要ならセルフホストムーンも検討。
  • ローカルLANとIP競合: ZeroTier割当範囲かローカルLANのどちらかを変更。

他のソリューションとの比較

ソリューション公開IP必須利便性適した用途
ZeroTierいいえ非常に簡単クイックメッシュ、NAT背後のリモート機器
Tailscaleいいえ非常に簡単ID基盤のコントロールプレーン、チーム向け
WireGuard（手動）場合による中程度高速パフォーマンス、DIYセットアップ向け
OpenVPN / IPSec場合による複雑レガシー互換、PKI管理

ZeroTierを選ぶべき時

  • 多数デバイスにまたがる速く摩擦の少ないメッシュが必要な場合。
  • CGNAT背後の機器に公開IPなしで到達したい場合。
  • ピアツーピアとリレーを併用可能なUIフレンドリーなハイブリッドを求める場合。

企業SSOに連動した厳格なID基盤ACLが必要ならTailscaleを検討してください。

MKControllerが役立つ場面: 大規模MikroTikチーム向けに、MKControllerのNATCloudがリモートアクセスと監視を集中管理し、個別機器のネットワーク作業負担を減らしつつ統制と可視化を確保します。

結論

ZeroTierはリモート管理の障壁を大きく軽減します。

高速で安全、混在環境にも適しています。

RouterOSコマンド数回でMikroTikを接続し内部サービスに安全にアクセス可能です。

まずは小規模から：ルーター承認、一つのサービス公開、次にルートとACL拡張へ進みましょう。

MKControllerについて

上記の内容があなたのMikroTikとインターネット環境の理解に役立てば幸いです！🚀
設定を微調整する時も、混沌としたネットワークを整理したい時も、MKControllerはあなたの生活を簡単にします。

クラウド集中管理、自動セキュリティアップデート、誰でも使えるダッシュボードで、運用のアップグレードを支援します。

👉 3日間無料トライアルはこちら — mkcontroller.comで手軽なネットワーク管理体験を始めましょう。