آشنایی کامل با ZeroTier در میکروتیک RouterOS v7؛ آموزش راه‌اندازی VPN، اتصال شعب و پروژه عملی

ZeroTier چیست و چه کاربردی در شبکه دارد؟

ZeroTier یک راهکار مجازی‌سازی شبکه است که امکان ایجاد ارتباطات خصوصی میان تجهیزات موجود در مکان‌های مختلف را فراهم می‌کند.

برای مثال، یک لپ‌تاپ در خارج از سازمان، یک سرور داخل دیتاسنتر و یک روتر MikroTik در شعبه دیگر می‌توانند عضو یک شبکه مجازی مشترک باشند.

این تجهیزات بدون آنکه الزاماً در یک شبکه فیزیکی یا یک محدوده جغرافیایی باشند، از طریق آدرس‌های مجازی با یکدیگر ارتباط برقرار می‌کنند.

ZeroTier چه نوع شبکه‌ای ایجاد می‌کند؟

ZeroTier یک شبکه Overlay ایجاد می‌کند. در چنین شبکه‌ای، ارتباط منطقی دستگاه‌ها روی زیرساخت فیزیکی موجود، مانند اینترنت، ساخته می‌شود.

از نظر معماری، ZeroTier قابلیت مجازی‌سازی Ethernet را فراهم می‌کند. بااین‌حال، در سناریوهای اتصال دو شعبه، معمولاً بهتر است شبکه‌های LAN به‌صورت Routed و با Subnetهای مستقل باقی بمانند.

کاربردهای رایج ZeroTier

• اتصال امن دو یا چند شعبه سازمان
• دسترسی کارمندان دورکار به LAN سازمان
• مدیریت روترهای MikroTik پشت NAT
• اتصال سرورهای Linux و Windows
• دسترسی به سامانه‌های مانیتورینگ
• مدیریت تجهیزات شبکه و سرورهای مجازی
• ایجاد شبکه اختصاصی میان VPS و دفتر مرکزی
• اتصال سایت‌های دورافتاده به زیرساخت سازمان

یکی از مزایای مهم ZeroTier این است که لازم نیست تمام تجهیزات داخلی به‌صورت مستقیم پکیج ZeroTier داشته باشند.

اگر روتر Gateway شبکه عضو ZeroTier باشد، می‌توان با تنظیم Routing و Firewall مناسب، امکان ارتباط با تجهیزات پشت آن را نیز فراهم کرد.

ZeroTier چگونه کار می‌کند؟ بررسی معماری فنی

ZeroTier از معماری Software-Defined Networking و ارتباطات رمزنگاری‌شده استفاده می‌کند.

در این ساختار، چند مفهوم مهم وجود دارد که باید پیش از راه‌اندازی بشناسیم.

۱. Node چیست؟

هر دستگاهی که نرم‌افزار ZeroTier را اجرا می‌کند، یک Node محسوب می‌شود.

برای مثال، روتر MikroTik، لپ‌تاپ، سرور یا تلفن همراه می‌تواند Node باشد.

هر Node دارای یک شناسه اختصاصی است که برای شناسایی آن در شبکه ZeroTier استفاده می‌شود.

۲. Network ID چیست؟

هر شبکه ZeroTier یک شناسه ۱۶ کاراکتری Hexadecimal دارد.

برای مثال:

0123456789abcdef

این مقدار صرفاً نمونه آموزشی است و باید با Network ID واقعی شبکه خود جایگزین شود.

۳. ZeroTier Central چیست؟

ZeroTier Central یک پنل مدیریتی برای ساخت و مدیریت شبکه‌های مجازی است.

با استفاده از آن می‌توان اعضا را تأیید کرد، آدرس IP اختصاص داد، Managed Route تعریف کرد و سیاست‌های دسترسی شبکه را مدیریت کرد.

در نسخه‌های فعلی، دو محیط مدیریتی وجود دارد:

• New Central: central.zerotier.com
• Legacy Central: my.zerotier.com

این دو محیط از نظر ساختار منو و مدیریت سازمان‌ها تفاوت‌هایی دارند، اما اصول اصلی عضویت، تأیید اعضا و مدیریت شبکه مشابه است.

۴. Peer-to-Peer و NAT Traversal

ZeroTier تلاش می‌کند ارتباطی مستقیم میان Nodeهای مجاز برقرار کند.

این فرآیند معمولاً از طریق UDP و مکانیزم‌های NAT Traversal انجام می‌شود.

اگر شرایط Firewall و NAT مناسب باشد، داده‌ها می‌توانند مستقیم میان دو Node منتقل شوند.

اما اگر اتصال مستقیم امکان‌پذیر نباشد، ZeroTier ممکن است از Relay استفاده کند.

۵. رمزنگاری ارتباطات

ZeroTier از رمزنگاری End-to-End برای محافظت از ترافیک شبکه مجازی استفاده می‌کند.

در معماری معمول، ZeroTier Central نقش Control Plane را بر عهده دارد؛ درحالی‌که انتقال ترافیک داده تا حد امکان میان Nodeها به‌صورت مستقیم انجام می‌شود.

در شرایط Relay، مسیر انتقال داده می‌تواند متفاوت باشد، اما رمزنگاری ارتباط همچنان اهمیت دارد.

مزایای استفاده از ZeroTier در MikroTik

۱. عدم نیاز قطعی به Public IP

بسیاری از روترهای MikroTik از سرویس‌های اینترنتی استفاده می‌کنند که Public IPv4 مستقیم ندارند.

ZeroTier در بسیاری از این شرایط می‌تواند ارتباط را از طریق NAT Traversal یا مسیر جایگزین فراهم کند.

۲. راه‌اندازی ساده شبکه مجازی

برخلاف بعضی روش‌های VPN که نیاز به تنظیم Server، Client، Certificate یا Peer Endpoint دارند، در ZeroTier بسیاری از تنظیمات عضویت از طریق Network ID و Controller مدیریت می‌شوند.

۳. اتصال چندین شعبه

می‌توان چند روتر MikroTik را عضو یک شبکه ZeroTier کرد و برای هر شعبه یک Subnet مجزا در نظر گرفت.

۴. دسترسی از راه دور

کاربران دارای مجوز می‌توانند از طریق اپلیکیشن ZeroTier روی لپ‌تاپ یا تلفن همراه به منابع مجاز سازمان دسترسی پیدا کنند.

۵. پشتیبانی از سیستم‌عامل‌های مختلف

ZeroTier روی سیستم‌عامل‌های مختلف و برخی تجهیزات شبکه پشتیبانی می‌شود.

این ویژگی برای سازمان‌هایی با زیرساخت ترکیبی Windows، Linux، موبایل و MikroTik کاربردی است.

۶. مدیریت متمرکز اعضا

مدیر شبکه می‌تواند از طریق Controller دسترسی Nodeهای جدید را تأیید یا لغو کند.

همچنین امکان اعمال سیاست‌های کنترل دسترسی در سطح شبکه مجازی وجود دارد.

تفاوت ZeroTier با WireGuard و VPNهای سنتی

ZeroTier و WireGuard هر دو می‌توانند برای ایجاد ارتباطات خصوصی استفاده شوند، اما معماری مدیریتی آن‌ها متفاوت است.

چه زمانی ZeroTier مناسب‌تر است؟

وقتی چندین Node با IPهای متغیر، پشت NAT یا در مکان‌های متفاوت قرار دارند و مدیریت مرکزی اعضا اهمیت دارد، ZeroTier ارزش بررسی زیادی دارد.

چه زمانی WireGuard مناسب‌تر است؟

اگر هدف ایجاد یک VPN ساده با کنترل مستقیم Endpointها، وابستگی کمتر به Controller ثالث و طراحی کاملاً مشخص Routing باشد، WireGuard ممکن است انتخاب مناسب‌تری باشد.

برای آشنایی بیشتر: اتصال امن شعب و کاربران دورکار با WireGuard

پیش‌نیازهای نصب ZeroTier در RouterOS v7

قبل از شروع، باید سازگاری سخت‌افزار و نرم‌افزار بررسی شود.

معماری پردازنده

طبق مستندات رسمی MikroTik، پکیج ZeroTier برای معماری‌های ARM و ARM64 ارائه شده است.

برای مشاهده معماری روتر:

/system resource print

در خروجی، مقدار architecture-name را بررسی کنید.

اگر معماری دستگاه در فهرست پشتیبانی نباشد، نصب پکیج معمولاً امکان‌پذیر نخواهد بود.

ARM یا ARM64؟

در مستندات ZeroTier استفاده از تجهیزات ARM64 برای عملکرد بهتر توصیه شده است.

دستگاه‌های ARM 32bit نیز پشتیبانی می‌شوند، اما ممکن است عملکرد کمتری داشته باشند.

سایر پیش‌نیازها

• RouterOS v7 با نسخه پشتیبانی‌شده
• پکیج ZeroTier متناسب با معماری و نسخه RouterOS
• اتصال اینترنت و دسترسی UDP مناسب
• امکان دسترسی به ZeroTier Central
• مجوز ZeroTier در Device Mode
• دسترسی مدیریتی به روتر
• Backup و مسیر دسترسی جایگزین پیش از تغییرات

آموزش نصب پکیج ZeroTier روی MikroTik

مرحله اول: بررسی نسخه RouterOS

/system resource print
/system package print

نسخه RouterOS و معماری پردازنده را یادداشت کنید.

مرحله دوم: دانلود پکیج

به صفحه رسمی MikroTik Download مراجعه کنید.

در قسمت Extra Packages، فایل مربوط به معماری و نسخه فعلی RouterOS را دریافت کنید.

نام فایل معمولاً ساختاری مشابه نمونه زیر دارد:

zerotier-7.xx-arm.npk

یا برای ARM64:

zerotier-7.xx-arm64.npk

عبارت 7.xx فقط نمونه‌ای از شماره نسخه است. نسخه واقعی باید با RouterOS نصب‌شده سازگار باشد.

مرحله سوم: انتقال فایل به روتر

1. با WinBox به MikroTik متصل شوید.
2. پنجره Files را باز کنید.
3. فایل NPK صحیح را در بخش Files آپلود کنید.
4. از کامل شدن انتقال مطمئن شوید.
5. در زمان مناسب روتر را Reboot کنید.

برای راه‌اندازی مجدد:

/system reboot

مرحله چهارم: بررسی نصب

بعد از بالا آمدن روتر:

/system package print
/zerotier print

اگر پکیج نصب شده باشد، منوی ZeroTier باید در دسترس قرار بگیرد؛ البته ممکن است Device Mode استفاده از آن را محدود کرده باشد.

فعال‌سازی ZeroTier در Device Mode میکروتیک

یکی از رایج‌ترین دلایل کار نکردن ZeroTier در RouterOS v7، محدودیت Device Mode است.

این قابلیت می‌تواند فعالیت ابزارهای خاص RouterOS را در سطح سیستم محدود کند.

بررسی وضعیت ZeroTier

/system/device-mode/print

در خروجی، پارامتر zerotier را پیدا کنید.

اگر مقدار آن no باشد، قابلیت در Device Mode مجاز نیست.

دستور فعال‌سازی

/system/device-mode/update zerotier=yes

پس از اجرای دستور، باید در بازه اعلام‌شده توسط RouterOS، تأیید فیزیکی انجام شود.

برای مثال، با استفاده از دکمه مجاز دستگاه یا Power Cycle، مطابق راهنمای مدل سخت‌افزار.

پس از انجام تغییر و بالا آمدن دستگاه، مجدداً بررسی کنید:

/system/device-mode/print

اگر مقدار zerotier=yes باشد، محدودیت مربوط برداشته شده است.

مقاله مرتبط: آشنایی کامل با Device Mode در RouterOS v7

ساخت شبکه ZeroTier در ZeroTier Central

پس از آماده شدن روتر، باید یک شبکه مجازی ایجاد کنیم.

مرحله اول: ورود به پنل

برای استفاده از محیط جدید به آدرس زیر بروید:

https://central.zerotier.com

در New Central، ابتدا Organization موردنظر را ایجاد یا انتخاب کنید.

سپس از بخش Networks، شبکه جدید بسازید.

اگر از محیط Legacy Central استفاده می‌کنید، ساخت شبکه از طریق گزینه Create A Network در پنل my.zerotier.com انجام می‌شود.

مرحله دوم: دریافت Network ID

پس از ساخت شبکه، ZeroTier یک Network ID اختصاصی ایجاد می‌کند.

برای مثال:

0123456789abcdef

این شناسه را برای مرحله عضویت MikroTik استفاده خواهیم کرد.

مرحله سوم: خصوصی کردن شبکه

توصیه می‌شود Access Control را در حالت Private قرار دهید.

در این حالت، هر دستگاه پس از درخواست عضویت، باید توسط مدیر شبکه تأیید شود.

مرحله چهارم: انتخاب Subnet مجازی

برای پروژه عملی، رنج زیر را در نظر می‌گیریم:

172.27.50.0/24

در تنظیمات IPv4 Assignment یا IP Assignment، این محدوده را برای شبکه مجازی تعریف کنید.

مطمئن شوید که این رنج با Subnetهای LAN، VPN و سایر شبکه‌های سازمان تداخل ندارد.

مرحله پنجم: ثبت تنظیمات

پس از ذخیره، شبکه آماده پذیرش عضوهای ZeroTier خواهد بود.

آموزش اتصال MikroTik به شبکه ZeroTier

اکنون باید Instance مربوط به ZeroTier را فعال کنیم.

مرحله اول: فعال‌سازی Instance

/zerotier enable zt1

در صورت نیاز، وضعیت Instance را بررسی کنید:

/zerotier print

Instance پیش‌فرض معمولاً با نام zt1 نمایش داده می‌شود.

مرحله دوم: عضویت در شبکه

دستور زیر را پس از جایگزین کردن Network ID واقعی اجرا کنید:

/zerotier interface add \
 name=ZT-BISTOON \
 instance=zt1 \
 network=0123456789abcdef \
 allow-managed=yes \
 allow-default=no \
 allow-global=no \
 disabled=no

در این دستور، Network ID نمونه باید حتماً با مقدار واقعی جایگزین شود.

معنی پارامترها

مرحله سوم: بررسی وضعیت Interface

/zerotier interface print detail

ممکن است در ابتدای عضویت وضعیت زیر دیده شود:

ACCESS_DENIED

اگر Network در حالت Private قرار داشته باشد، این وضعیت تا زمان تأیید Node طبیعی است.

تأیید اعضا و اختصاص آدرس IP در ZeroTier Central

بعد از عضویت MikroTik، وارد پنل ZeroTier Central شوید.

مرحله اول: پیدا کردن Node

در New Central به بخش Member Devices شبکه مراجعه کنید.

در Legacy Central، اعضا در بخش Members نمایش داده می‌شوند.

مرحله دوم: تأیید عضویت

Node مربوط به MikroTik را انتخاب کرده و گزینه Authorize را فعال کنید.

مرحله سوم: اختصاص IP

در پروژه آموزشی ما آدرس زیر به روتر دفتر مرکزی اختصاص داده می‌شود:

172.27.50.1

برای روتر شعبه دوم:

172.27.50.2

آدرس‌ها را در تنظیمات Managed IP اعضای مربوطه ثبت کنید.

ممکن است بسته به تنظیمات IP Auto-Assign، ابتدا آدرس دیگری به Node اختصاص داده شده باشد.

برای این پروژه، آدرس‌ها را مطابق جدول آدرس‌دهی تثبیت کنید.

مرحله چهارم: بررسی در RouterOS

/zerotier interface print
/ip address print where interface="ZT-BISTOON"

در صورت تنظیم صحیح Controller، یک IP مجازی روی Interface ZeroTier قابل مشاهده خواهد بود.

توجه داشته باشید که این آدرس توسط ZeroTier مدیریت می‌شود.

پروژه عملی ZeroTier: اتصال دو شعبه با MikroTik

اکنون یک شبکه Site-to-Site را راه‌اندازی می‌کنیم.

فرض کنید یک سازمان دارای دو دفتر مجزا است:

• دفتر مرکزی با روتر R1
• شعبه دوم با روتر R2

هر دو روتر به اینترنت دسترسی دارند، اما لزوماً Public IP مستقیم ندارند.

هدف این است که دستگاه‌های LAN دفتر مرکزی بتوانند به LAN شعبه دوم دسترسی داشته باشند و ارتباط برعکس نیز برقرار شود.

توپولوژی پروژه

Head Office                  Branch Office
192.168.10.0/24              192.168.20.0/24
       |                            |
      R1                           R2
       |                            |
 172.27.50.1                 172.27.50.2
       |                            |
       +--------- ZeroTier ---------+
                  Overlay
               172.27.50.0/24
                     |
              Remote Laptop
              172.27.50.100

جدول آدرس‌دهی کامل

فرض می‌کنیم هر دو روتر دارای اینترنت فعال هستند و تنظیمات اولیه WAN، LAN، DHCP و NAT اینترنت از قبل انجام شده است.

همچنین bridge-LAN در هر دو روتر وجود دارد. اگر نام آن متفاوت است، در دستورات بعدی اصلاح کنید.

مرحله اول: آماده‌سازی R1

روی روتر دفتر مرکزی، پس از نصب پکیج و بررسی Device Mode، دستورات زیر را اجرا کنید:

/zerotier enable zt1

/zerotier interface add \
 name=ZT-BISTOON \
 instance=zt1 \
 network=0123456789abcdef \
 allow-managed=yes \
 allow-default=no \
 allow-global=no \
 disabled=no

Network ID باید با شناسه واقعی شبکه شما جایگزین شود.

سپس در Central، عضویت R1 را تأیید کنید و IP زیر را به آن اختصاص دهید:

172.27.50.1

مرحله دوم: آماده‌سازی R2

روی روتر شعبه دوم نیز همان پکیج را متناسب با معماری سخت‌افزار نصب کنید.

/zerotier enable zt1

/zerotier interface add \
 name=ZT-BISTOON \
 instance=zt1 \
 network=0123456789abcdef \
 allow-managed=yes \
 allow-default=no \
 allow-global=no \
 disabled=no

هر دو روتر باید از یک Network ID استفاده کنند.

در پنل Central، Node مربوط به R2 را تأیید کنید و IP زیر را اختصاص دهید:

172.27.50.2

مرحله سوم: تست اتصال دو روتر

روی R1 دستور زیر را اجرا کنید:

/ping 172.27.50.2 count=5

روی R2:

/ping 172.27.50.1 count=5

اگر Firewall اجازه ICMP را بدهد و ارتباط ZeroTier صحیح باشد، دو روتر باید بتوانند آدرس‌های مجازی یکدیگر را Ping کنند.

در غیر این صورت، ابتدا وضعیت Authorization، Interface و Firewall Input را بررسی کنید.

تنظیم Managed Routes برای اتصال شبکه‌های LAN

ZeroTier علاوه بر ایجاد شبکه مجازی، می‌تواند اطلاعات Routing را از Controller به اعضا ارسال کند.

برای اینکه LAN دو شعبه به یکدیگر دسترسی داشته باشند، باید مشخص کنیم هر Subnet از طریق کدام ZeroTier Node قابل دسترسی است.

تعریف مسیر دفتر مرکزی

در ZeroTier Central، بخش Managed Routes را باز کنید.

مسیر زیر را تعریف کنید:

Destination: 192.168.10.0/24
Via: 172.27.50.1

این Route به اعضای شبکه اعلام می‌کند که برای دسترسی به LAN دفتر مرکزی، از Node شماره R1 استفاده کنند.

تعریف مسیر شعبه دوم

Destination: 192.168.20.0/24
Via: 172.27.50.2

این Route مسیر LAN شعبه دوم را مشخص می‌کند.

جدول نهایی Routeها

مسیر اصلی شبکه مجازی باید مطابق IP Assignment و تنظیمات Controller وجود داشته باشد.

در روترهایی که allow-managed=yes دارند، Routeهای ارسال‌شده توسط Controller می‌توانند به‌صورت خودکار دریافت شوند.

بررسی Routeها در MikroTik

/ip route print detail

روی R1 باید مسیر شبکه 192.168.20.0/24 از طریق 172.27.50.2 قابل استفاده باشد.

روی R2 نیز مسیر 192.168.10.0/24 از طریق 172.27.50.1 باید موجود باشد.

اگر Managed Routes دریافت نشد چه کنیم؟

ابتدا allow-managed را بررسی کنید و وضعیت Interface را مشاهده کنید.

در صورت نیاز به پیکربندی Static Route و پس از اطمینان از آدرس‌های ZeroTier، می‌توان مسیرها را دستی تعریف کرد.

روی R1:

/ip route add \
 dst-address=192.168.20.0/24 \
 gateway=172.27.50.2 \
 comment="ZT Route to Branch LAN"

روی R2:

/ip route add \
 dst-address=192.168.10.0/24 \
 gateway=172.27.50.1 \
 comment="ZT Route to HQ LAN"

همچنین اگر LAN دو شعبه از یک Subnet مشترک و تکراری استفاده کنند، Routing معمولی میان آن‌ها به‌درستی کار نخواهد کرد.

بهتر است در طراحی Site-to-Site، هر شعبه دارای Subnet منحصربه‌فرد باشد.

تنظیم Firewall میکروتیک برای عبور ترافیک ZeroTier

پس از اتصال Nodeها و تعریف Routeها، باید Firewall هر دو روتر بررسی شود.

در RouterOS، دو Chain اصلی برای این پروژه اهمیت دارند:

• Input: ترافیک مقصد خود روتر
• Forward: ترافیکی که از روتر عبور می‌کند و به LAN دیگر می‌رود

۱. اجازه Ping به روتر از ZeroTier

روی هر دو روتر، در صورت نیاز به تست ICMP:

/ip firewall filter add \
 chain=input \
 action=accept \
 in-interface=ZT-BISTOON \
 src-address=172.27.50.0/24 \
 protocol=icmp \
 place-before=0 \
 comment="BISTOON ZT ICMP"

این Rule صرفاً ICMP ورودی از شبکه مجازی را مجاز می‌کند.

۲. دسترسی مدیریتی محدود

اگر بخواهیم فقط لپ‌تاپ مدیر شبکه بتواند از ZeroTier به WinBox و SSH روتر متصل شود:

/ip firewall filter add \
 chain=input \
 action=accept \
 in-interface=ZT-BISTOON \
 src-address=172.27.50.100 \
 protocol=tcp \
 dst-port=8291,22 \
 place-before=0 \
 comment="BISTOON ZT Admin Only"

با این روش، به‌جای مجاز کردن کامل دسترسی از ZeroTier، آن را به IP مشخصی محدود می‌کنیم.

۳. اجازه ورود ترافیک شعبه دوم به LAN دفتر مرکزی

روی R1:

/ip firewall filter add \
 chain=forward \
 action=accept \
 in-interface=ZT-BISTOON \
 out-interface=bridge-LAN \
 src-address=192.168.20.0/24 \
 dst-address=192.168.10.0/24 \
 place-before=0 \
 comment="BISTOON Branch to HQ"

۴. اجازه خروج ترافیک دفتر مرکزی به شعبه دوم

روی R1:

/ip firewall filter add \
 chain=forward \
 action=accept \
 in-interface=bridge-LAN \
 out-interface=ZT-BISTOON \
 src-address=192.168.10.0/24 \
 dst-address=192.168.20.0/24 \
 place-before=0 \
 comment="BISTOON HQ to Branch"

۵. تنظیم Firewall روی شعبه دوم

روی R2، اجازه ورود ترافیک دفتر مرکزی به LAN شعبه:

/ip firewall filter add \
 chain=forward \
 action=accept \
 in-interface=ZT-BISTOON \
 out-interface=bridge-LAN \
 src-address=192.168.10.0/24 \
 dst-address=192.168.20.0/24 \
 place-before=0 \
 comment="BISTOON HQ to Branch"

و مسیر برعکس:

/ip firewall filter add \
 chain=forward \
 action=accept \
 in-interface=bridge-LAN \
 out-interface=ZT-BISTOON \
 src-address=192.168.20.0/24 \
 dst-address=192.168.10.0/24 \
 place-before=0 \
 comment="BISTOON Branch to HQ"

۶. آیا به NAT نیاز داریم؟

در این پروژه، چون هر دو LAN دارای Subnet مستقل هستند و Route رفت و برگشت وجود دارد، به NAT میان دو شعبه نیاز نداریم.

روش Routed بدون NAT امکان مشاهده IP واقعی دستگاه‌ها در دو شعبه را فراهم می‌کند.

تنظیمات Src-NAT و Masquerade فعلی روتر را بررسی کنید تا به‌صورت ناخواسته روی ترافیک ZeroTier اعمال نشوند.

گزینه place-before=0 قانون را در ابتدای لیست قرار می‌دهد. این روش برای نمونه آموزشی است و در شبکه عملیاتی بهتر است Ruleها در جایگاه منطقی و پیش از Drop مرتبط قرار بگیرند.

پروژه دوم: دسترسی کاربر دورکار به شبکه سازمان با ZeroTier

اکنون فرض کنید کارشناس IT از منزل یا موقعیت دیگری می‌خواهد به سرورهای دفتر مرکزی دسترسی داشته باشد.

برای این کار نیازی نیست روی تک‌تک سرورهای سازمان ZeroTier نصب شود، زیرا روتر دفتر مرکزی عضو شبکه مجازی است.

مرحله اول: نصب ZeroTier روی لپ‌تاپ

نرم‌افزار ZeroTier را از وب‌سایت رسمی دریافت کنید:

ZeroTier Download

پس از نصب، از گزینه Join Network استفاده کنید و Network ID را وارد کنید.

مرحله دوم: تأیید لپ‌تاپ در Central

در پنل Central، Node جدید را پیدا کنید.

آن را Authorize کنید و در صورت نیاز آدرس اختصاصی زیر را به آن بدهید:

172.27.50.100

مرحله سوم: بررسی Managed Route

در Central، مسیر LAN دفتر مرکزی باید تعریف شده باشد:

192.168.10.0/24 via 172.27.50.1

در این حالت، لپ‌تاپ می‌تواند برای دسترسی به شبکه 192.168.10.0/24 از R1 استفاده کند.

مرحله چهارم: مجاز کردن Forward روی R1

برای دسترسی لپ‌تاپ مدیر به LAN:

/ip firewall filter add \
 chain=forward \
 action=accept \
 in-interface=ZT-BISTOON \
 out-interface=bridge-LAN \
 src-address=172.27.50.100 \
 dst-address=192.168.10.0/24 \
 place-before=0 \
 comment="ZT Remote Admin to HQ LAN"

اگر Firewall برگشت ترافیک Established و Related را مجاز می‌کند، اتصالات پاسخ می‌توانند از همان مسیر برگردند.

در غیر این صورت باید Rule مناسب برگشت نیز مطابق سیاست شبکه در نظر گرفت.

مرحله پنجم: آزمایش دسترسی

از لپ‌تاپ Windows:

ping 172.27.50.1

برای تست Gateway داخلی:

ping 192.168.10.1

برای دسترسی به یک سرور فرضی در LAN:

ping 192.168.10.10

پس از موفقیت تست‌ها می‌توان سرویس‌های مجاز مانند SSH، RDP یا پنل مدیریتی را با رعایت سیاست امنیتی سازمان استفاده کرد.

آموزش تنظیم ZeroTier از طریق WinBox

مدیریت ZeroTier علاوه بر Terminal، از طریق محیط گرافیکی WinBox نیز امکان‌پذیر است.

مرحله اول: بررسی Package

1. با WinBox به روتر متصل شوید.
2. از بخش System، قسمت Packages را باز کنید.
3. مطمئن شوید Package مربوط به ZeroTier نصب شده است.
4. در صورت نبود آن، مراحل نصب پکیج را انجام دهید.

مرحله دوم: بررسی Device Mode

از مسیر System → Device Mode وضعیت مجوز ZeroTier را بررسی کنید.

در صورت نیاز، درخواست Update و تأیید فیزیکی را انجام دهید.

مرحله سوم: ورود به ZeroTier

پس از نصب پکیج و مجاز بودن Device Mode، منوی ZeroTier در WinBox قابل دسترس خواهد بود.

Instance موجود را بررسی کنید و در صورت غیرفعال بودن، آن را Enable کنید.

مرحله چهارم: افزودن Interface

از قسمت Interfaceهای ZeroTier یک ورودی جدید ایجاد کنید.

مقادیر زیر را وارد کنید:

Name: ZT-BISTOON
Instance: zt1
Network ID: YOUR_NETWORK_ID
Allow Managed: yes
Allow Default: no
Allow Global: no

مرحله پنجم: بررسی عضویت

بعد از تأیید Node در Central، وضعیت Interface باید متناسب با اتصال شبکه تغییر کند.

برای بازبینی دقیق دستورات:

/zerotier interface print detail

سپس از بخش IP → Addresses آدرس ZeroTier را بررسی کنید.

در بخش IP → Routes نیز مسیرهای دریافتی از Controller قابل بررسی هستند.

آیا ZeroTier پشت NAT و CGNAT کار می‌کند؟

یکی از مهم‌ترین دلایل استفاده از ZeroTier، امکان کار در شبکه‌هایی است که Public IP مستقیم ندارند.

ZeroTier با استفاده از NAT Traversal تلاش می‌کند یک مسیر مستقیم UDP میان دو Node ایجاد کند.

ZeroTier از چه پورتی استفاده می‌کند؟

در RouterOS، پورت UDP پیش‌فرض ZeroTier برابر 9993 است.

طبق مستندات رسمی، ZeroTier می‌تواند از پورت‌های UDP دیگری نیز برای ارتباط Peer-to-Peer استفاده کند.

بنابراین نباید فرض کرد که صرفاً باز بودن UDP 9993 برای تمام سناریوها کافی است.

آیا Port Forwarding الزامی است؟

در بسیاری از سناریوهای معمول، خیر.

ZeroTier می‌تواند بدون Port Forwarding دستی، ارتباط موردنیاز را برقرار کند.

اما این موضوع به شرایط شبکه وابسته است.

محدودیت Symmetric NAT

در شبکه‌هایی با Symmetric NAT، برقراری ارتباط مستقیم دشوارتر خواهد بود.

در چنین حالتی، ممکن است اتصال به‌صورت Relay برقرار شود یا با محدودیت عملکرد روبه‌رو باشد.

تفاوت اتصال Direct و Relay

برای بررسی Peerها در MikroTik:

/zerotier peer print detail

همچنین وضعیت Instance را مشاهده کنید:

/zerotier print detail

برای دستیابی به عملکرد بهتر، ارتباط Direct معمولاً مطلوب‌تر است.

نکات امنیتی مهم هنگام استفاده از ZeroTier در MikroTik

ZeroTier ارتباط رمزنگاری‌شده فراهم می‌کند، اما امنیت کل شبکه فقط به رمزنگاری وابسته نیست.

۱. شبکه را Private نگه دارید

استفاده از Private Network باعث می‌شود عضویت Nodeهای جدید به تأیید مدیر نیاز داشته باشد.

۲. دسترسی RouterOS را محدود کنید

نباید تمام Nodeهای ZeroTier بدون محدودیت به WinBox، SSH یا سایر سرویس‌های مدیریتی دسترسی داشته باشند.

برای این منظور از Firewall و محدودسازی IPهای مجاز استفاده کنید.

۳. ZeroTier را به‌صورت پیش‌فرض Bridge نکنید

اگرچه ZeroTier از شبکه مجازی لایه دوم پشتیبانی می‌کند، اما اتصال مستقیم یک Bridge داخلی به ZeroTier همیشه انتخاب درستی نیست.

این کار ممکن است باعث گسترش Broadcast Domain و پیچیدگی شبکه شود.

برای بیشتر سناریوهای Site-to-Site، Routing با Subnetهای جداگانه ترجیح داده می‌شود.

۴. Managed Routeها را بررسی کنید

هر تغییر در Routeهای Controller ممکن است روی مسیر ترافیک Nodeهای متصل اثر بگذارد.

به‌خصوص فعال کردن allow-default باید با دقت انجام شود.

۵. اعضای غیرفعال را حذف یا Deauthorize کنید

اگر لپ‌تاپ یا دستگاهی دیگر نباید به شبکه دسترسی داشته باشد، مجوز آن را در Central لغو کنید.

۶. از Flow Rules استفاده کنید

ZeroTier امکان تعریف سیاست‌های دسترسی در سطح شبکه مجازی را فراهم می‌کند.

برای مثال، می‌توان ارتباط بعضی گروه‌های Nodeها را به سرویس‌های مجاز محدود کرد.

بااین‌حال، Flow Rules جایگزین کامل Firewall روتر یا Host نیستند.

۷. به‌روزرسانی و مدیریت هویت

نسخه RouterOS، پکیج ZeroTier و حساب مدیریتی Central را به‌روز و ایمن نگه دارید.

از احراز هویت چندمرحله‌ای برای حساب‌های مدیریتی در صورت پشتیبانی استفاده کنید.

عیب‌یابی مشکلات ZeroTier در RouterOS v7

اگر ZeroTier در MikroTik به‌درستی کار نمی‌کند، مراحل زیر را به ترتیب بررسی کنید.

مشکل اول: منوی ZeroTier وجود ندارد

احتمالاً پکیج مناسب نصب نشده است.

بررسی:

/system resource print
/system package print

معماری روتر و نسخه پکیج را کنترل کنید.

مشکل دوم: خطای Device Mode

اگر پیامی مشابه not allowed by device-mode دریافت می‌کنید، وضعیت را بررسی کنید:

/system/device-mode/print

در صورت نیاز:

/system/device-mode/update zerotier=yes

این تغییر به تأیید فیزیکی نیاز دارد.

مشکل سوم: ACCESS_DENIED

این وضعیت معمولاً نشان می‌دهد Node در شبکه Private هنوز Authorize نشده است.

در Central وارد بخش Members یا Member Devices شوید و Node را تأیید کنید.

مشکل چهارم: اتصال OK است اما IP دریافت نشده

در این حالت باید موارد زیر را بررسی کنید:

• IP Assignment در Controller
• Managed IP عضو مربوطه
• وضعیت allow-managed
• عدم تداخل رنج ZeroTier با شبکه‌های دیگر
• وجود Managed Route مناسب برای شبکه مجازی

مشکل پنجم: Ping میان روترها برقرار نیست

ابتدا وضعیت ZeroTier Interface را بررسی کنید:

/zerotier interface print detail
/zerotier peer print detail

سپس Firewall Input و مسیر ارتباط را بررسی کنید.

مشکل ششم: Ping دو روتر موفق است اما LANها ارتباط ندارند

در این شرایط، مشکل ممکن است از Routing یا Firewall Forward باشد.

دستورات زیر مفید هستند:

/ip route print detail
/ip firewall filter print stats

همچنین Default Gateway کلاینت‌های LAN را بررسی کنید.

اگر کلاینت از Gateway دیگری استفاده می‌کند، آن Gateway باید مسیر مناسب به شبکه مقابل را داشته باشد.

مشکل هفتم: سرعت پایین یا Latency بالا

یکی از علت‌های احتمالی، استفاده از مسیر Relay به‌جای Direct است.

عوامل دیگر شامل موارد زیر هستند:

• توان پردازشی محدود روتر
• تداخل یا افت کیفیت اینترنت
• محدودیت UDP در مسیر
• Double NAT یا Symmetric NAT
• مشکلات MTU و Path MTU Discovery
• محدودیت پهنای باند یا Queue

برای تست عملکرد بهتر، ترجیحاً از دو سیستم مستقل در دو سمت و ابزارهایی مانند iperf3 استفاده کنید.

جدول عیب‌یابی سریع

بهترین روش‌های اجرای ZeroTier در شبکه سازمانی

1. Subnetهای مستقل انتخاب کنید. برای هر شعبه یک شبکه LAN منحصربه‌فرد در نظر بگیرید.
2. Routing را به Bridging ترجیح دهید. در بیشتر سناریوهای Site-to-Site، این روش ساده‌تر و قابل‌کنترل‌تر است.
3. از Private Network استفاده کنید. عضویت دستگاه‌های جدید باید با تأیید مدیر انجام شود.
4. Default Route را بدون نیاز تغییر ندهید. برای اتصال شبکه‌های داخلی، Managed Routeهای مشخص تعریف کنید.
5. Firewall را محدود و هدفمند تنظیم کنید. فقط شبکه‌ها و سرویس‌های موردنیاز را مجاز کنید.
6. مسیر Direct و Relay را بررسی کنید. قبل از استفاده از ZeroTier برای سرویس‌های حساس به Latency، عملکرد واقعی را آزمایش کنید.
7. محدودیت CPU را در نظر بگیرید. برای ارتباطات پرترافیک، روتر مناسب و ترجیحاً ARM64 انتخاب کنید.
8. دسترسی اضطراری حفظ کنید. مدیریت روتر فقط به یک اتصال ZeroTier وابسته نباشد.
9. طرح شبکه را مستندسازی کنید. Network ID، Node ID، Subnetها، Routeها و مجوزهای دسترسی باید ثبت شوند.

سؤالات متداول درباره ZeroTier در MikroTik

جمع‌بندی: آیا ZeroTier برای شبکه MikroTik انتخاب مناسبی است؟

ZeroTier یکی از راهکارهای کاربردی برای ایجاد ارتباطات خصوصی میان تجهیزات و شبکه‌های مستقل است.

پشتیبانی از NAT Traversal، شبکه‌های رمزنگاری‌شده، مدیریت متمرکز Nodeها و امکان ارتباط با تجهیزات پشت RouterOS از ویژگی‌های مهم آن هستند.

در این مقاله، نحوه نصب پکیج ZeroTier، تنظیم Device Mode، ساخت شبکه در Central، تأیید Nodeها، اختصاص IP، Routing و Firewall را بررسی کردیم.

سپس با یک پروژه عملی، دو شبکه LAN در دو شعبه مجزا را به یکدیگر متصل کردیم و دسترسی یک کاربر دورکار به شبکه دفتر مرکزی را توضیح دادیم.

 اگر هدف ایجاد ارتباط چندین شعبه، مدیریت تجهیزات پشت NAT و دسترسی ساده‌تر کاربران دورکار باشد، ZeroTier یکی از گزینه‌های مناسب برای بررسی است. اما انتخاب نهایی باید با توجه به امنیت، عملکرد، وابستگی به Controller و شرایط شبکه انجام شود.

منابع و مستندات رسمی

• مستندات رسمی ZeroTier در MikroTik RouterOS
• مرجع دستورات ZeroTier در RouterOS
• مستندات Device Mode میکروتیک
• مستندات رسمی ZeroTier برای MikroTik
• راهنمای شروع کار با ZeroTier
• مدیریت شبکه‌ها در ZeroTier Central
• اتصال ZeroTier به شبکه‌های فیزیکی
• عیب‌یابی ارتباطات ZeroTier

این مقاله بر اساس مستندات رسمی MikroTik RouterOS v7 و ZeroTier تا نوامبر ۲۰۲۶ تهیه شده است. دستورات پروژه آزمایشگاهی هستند و باید پیش از استفاده در شبکه عملیاتی با سخت‌افزار، Interfaceها، Routing و Firewall موجود تطبیق داده شوند.