Перейти до вмісту
Blog

Керування MikroTik через ZeroTier

Коротко
ZeroTier створює безпечну однорангову віртуальну LAN, що робить віддалені пристрої MikroTik доступними без публічних IP чи складних VPN. Тут — установка, інтеграція, маршрутизація підмереж і корисні поради.

Віддалене керування MikroTik за допомогою ZeroTier

ZeroTier — це LAN, що поширюється по всьому світу.

Він встановлює зашифровані однорангові з’єднання і надає кожному учаснику внутрішню IP.

Без публічних IP. Без складної переадресації портів. Без громіздких PKI.

У цьому керівництві — практичні кроки, як інтегрувати MikroTik у мережу ZeroTier і безпечно відкривати локальні сервіси.

Що таке ZeroTier?

ZeroTier — віртуальна мережа, поєднує VPN, P2P та SD-WAN.

Він створює віртуальний інтерфейс (зазвичай zt0) на кожному вузлі.

Вузли приєднуються до мережі за Network ID.

Учасники отримують приватні IP і спілкуються захищено.

Сервери планети/місяця допомагають лише з пошуком.

Трафік — одноранговий, якщо можливо.

Як працює ZeroTier (коротко)

  • Контролер (мережа): створюєте і керуєте мережею на my.zerotier.com або власному контролері.
  • Учасники: пристрої з клієнтом ZeroTier, що підключаються до мережі.
  • Планета/Місяця: допоміжні сервери для пошуку/ретрансляції (публічні або власні).

ZeroTier автоматично долає NAT.

Авторизація: адміністратор схвалює нові вузли через веб-консоль.

Модель безпеки

ZeroTier застосовує сучасну криптографію (Curve25519, автентифіковані еферемні ключі).

Кожен вузол має ключі і 40-бітову унікальну адресу.

Адміністратори контролюють, хто може приєднатись.

ZeroTier не дешифрує трафік на публічних контролерах.

Примітка: Для повної незалежності розгорніть власний контролер/Місяця.

Швидке налаштування (сервер, десктоп)

  1. Зареєструйтесь і створіть мережу на https://my.zerotier.com.

  2. Збережіть Network ID (наприклад: 8056c2e21c000001).

  3. Встановіть клієнт на Linux-сервері або VPS:

Terminal window
curl -s https://install.zerotier.com | sudo bash
sudo zerotier-cli join 8056c2e21c000001
sudo zerotier-cli listnetworks

  1. У веб-консолі авторизуйте новий вузол (увімкніть Auth?).

  2. Перевірте внутрішні IP через zerotier-cli listnetworks.

Все просто.

Встановлення ZeroTier на MikroTik (RouterOS 7.5+)

MikroTik офіційно підтримує ZeroTier для RouterOS 7.x.

Дії:

  1. Завантажте відповідний zerotier-7.x-<arch>.npk з mikrotik.com.
  2. Завантажте .npk у файли роутера і перезавантажте пристрій.
  3. Створіть інтерфейс ZeroTier і приєднайтесь до мережі:
/interface zerotier add name=zt1 network=8056c2e21c000001
/interface zerotier print
  1. Авторизуйте MikroTik у веб-консолі ZeroTier.

Коли status зміниться на connected, роутер у Tailnet.

Порада: Оновлюйте пакет ZeroTier після оновлень RouterOS.

Оголошення і маршрутизація локальних підмереж

Щоб пристрої локальної мережі були доступні через ZeroTier — додайте маршрути або правила NAT.

Варіант A — Маршрутизація LAN (рекомендовано)

На MikroTik оголосіть локальну підмережу маршрутом і дозвольте форвардинг:

/ip route add dst-address=192.168.88.0/24 gateway=zt1
/ip firewall filter add chain=forward src-address=192.168.88.0/24 dst-address=!192.168.88.0/24 action=accept

Переконайтесь, що учасники ZeroTier знають маршрут (оголошується через контролер або налаштування).

Варіант B — dst-nat певного сервісу (обмежено і безпечно)

Переадресуйте IP/порт ZeroTier на внутрішній хост:

/ip firewall nat add chain=dstnat protocol=tcp dst-port=8081 \
    action=dst-nat to-addresses=192.168.88.10 to-ports=80

Доступ — через інший учасник за адресою http://<zerotier-ip>:8081.

Увага: Відкривайте лише потрібні служби. Уникайте широкої маршрутизації без суворого контролю.

Корисні поради для експлуатації

  • Використовуйте неперекриваючі приватні підмережі для LAN різних сайтів, щоб уникнути конфліктів.
  • Іменуйте роутери у консолі ZeroTier описово.
  • Групуйте вузли за тегами й ACL для простішого доступу.
  • Слідкуйте за виводом zerotier-cli та логами RouterOS при проблемах.

Вирішення типових проблем

  • Вузол застиг на REQUESTING_CONFIGURATION: Перевірте доступність контролера та авторизацію вузла.
  • Немає однорангового шляху: Трафік проксирується через DERP, перевірте продуктивність, подумайте про власні місяця.
  • Конфлікт IP з локальною LAN: Змініть діапазон ZeroTier або локальної мережі.

Порівняння з іншими рішеннями

РішенняПотрібен публічний IPЛегкістьОптимально для
ZeroTierНіДуже легкоШвидкі mesh, віддалені за NAT
TailscaleНіДуже легкоACL на основі ідентичності, команди
WireGuard (ручний)ІнодіПомірноВисока продуктивність, DIY
OpenVPN / IPSecІнодіСкладноЛегасі, PKI управління

Коли варто обрати ZeroTier

  • Потрібна швидка, легка mesh-мережа зі багатьма пристроями.
  • Має бути доступ до пристроїв за CGNAT без публічних IP.
  • Потрібен гібрид — P2P з реле і дружній інтерфейс.

Якщо потрібні суворі ACL на базі корпоративного SSO, розгляньте Tailscale.

Як допомагає MKController: Для команд з великою кількістю MikroTik, NATCloud MKController централізує доступ і моніторинг — скорочуючи мережевий обсяг робіт і зберігаючи управління та видимість.

Висновок

ZeroTier значно спрощує віддалене керування.

Це швидко, безпечно і підходить для змішаних середовищ.

Кілька команд RouterOS — і MikroTik підключено, сервіси доступні.

Починайте з малого: авторизуйте роутер, відкрийте один сервіс, розширюйте маршрути і ACL.

Про MKController

Сподіваємося, ці поради допомогли краще орієнтуватися у світі MikroTik та інтернету! 🚀
Незалежно від того, чи налаштовуєте ви конфігурації, чи намагаєтесь навести лад у мережевому хаосі, MKController полегшить ваше життя.

Централізоване хмарне керування, автоматичні оновлення безпеки та зручна панель роблять вашу роботу простішою.

👉 Почніть безкоштовний 3-денний тест на mkcontroller.com — і побачте, що таке справжній контроль над мережею.