ZeroTier 虚拟局域网实战从组网原理到自建 Planet 与内网互访你有没有过这种经历人在公司工位上突然想看一眼家里 NAS 上下载到哪了出差住酒店想连回办公室那台测试服务器敲两行命令或者蹲在智慧农业大棚里想远程摸一下机房那台嵌入式网关的状态。结果要么被运营商的大内网挡住要么翻遍路由器设置折腾端口映射最后还发现自家宽带压根没有公网 IP。今天黑漂技术佬给你介绍一位异地组网老司机——ZeroTier。本文从零开始把它是什么、为什么、怎么用、怎么玩出花一次讲透最后还会带你自建一套完全由自己掌控的 Planet 服务器让分布在世界各地的设备像连在同一台交换机上一样互访。一、ZeroTier 到底是什么先建立直觉1.1 一句话定义ZeroTier 是一款开源的P2P 虚拟局域网Virtual LAN工具或者说它是**软件定义广域网SD-WAN**的轻量实现。它做的事可以概括为一句话把散落在互联网各个角落的设备通过软件虚拟出一张二层局域网让它们互相能 ping 通、能访问对方的内网服务就像插在同一个交换机上一样。举个例子你在公司网络 A有一台笔记本家里网络 B有一台 NAS大棚现场网络 C还有一台工控机。正常情况下A、B、C 三个网络互相隔离谁也没法直接访问谁。ZeroTier 的做法是在三台设备上都装一个客户端各自虚拟出一块网卡通常叫ztxxxx再把这些虚拟网卡拉进同一个虚拟网络——于是三台设备都获得了同一网段的虚拟 IP比如10.100.0.x互相访问畅通无阻。1.2 和传统方案对比为什么它更香很多新手第一反应是“这不就是 VPN 吗我公司里就用的 OpenVPN。” 没错ZeroTier 广义上也是 VPN但和传统 VPN、内网穿透工具的差别很大。看表方案典型代表连接模式传输路径部署成本适合场景传统 VPNOpenVPN、IPSec客户端-服务器全部流量经 VPN 服务器中转需自建/购买服务器配置复杂公司远程办公合规审计要求高内网穿透FRP、花生壳客户端-服务器全部流量经公网服务器中转需公网服务器做中转临时暴露单个服务如 SSH、Web异地组网ZeroTier、TailscaleP2P 对等直连设备间点对点不经中转装客户端 网页上点几下多设备长期互联、互访整个内网网段关键差异有三点这也是 ZeroTier 的核心卖点点对点直连P2P设备之间一旦打通直连通道数据就不经过任何服务器中转。速度取决于两端宽带而不是中转服务器的带宽延迟也低得多。这对传大文件、看监控、跑数据库同步尤其重要。免费额度够用官方网络控制器对个人用户免费一个账号可以创建多个网络每个网络容纳几十台设备毫无压力官方免费层限制为每网络 25 台够个人玩。二层网络能力它模拟的是以太网而不是简单的 IP 路由所以 ARP、广播、组播这些局域网习俗它都支持很多局域网协议比如某些设备发现协议能直接跑。1.3 它适合谁家里有 NAS、想随时随地访问的数字仓鼠有多台云服务器、想免公网 IP 互相内网互联的开发者有分布在不同地点的门店设备、农业大棚设备、无人零售柜需要统一远程运维的物联网从业者想把公司、家里、实验室三地网络织成一张网的极客。二、组网原理PLANET、MOON、LEAF 与 NAT 穿透工欲善其事必先懂原理。ZeroTier 的官方文档里有一堆分布式哈希表“超节点”VL1/VL2之类的术语新手容易看懵。黑漂技术佬帮你把它们翻译成人话。2.1 三个角色行星、卫星、叶子ZeroTier 的网络里节点分三种角色天文学式的命名很有意思角色英文是什么通俗比喻行星服务器PLANETZeroTier 的根服务器负责节点发现与初始协调官方有一组叫 Earth网络里的太阳系中枢卫星服务器MOON用户可自建的私有根服务器是 PLANET 的下级代理可加速区域组网区域性的中继卫星叶子节点LEAF所有接入的终端设备电脑、手机、NAS、服务器行星/卫星照耀下的小行星工作流程大致是这样你的电脑启动 ZeroTier 客户端它会先联系 PLANET官方根服务器或你自建的报上自己的门牌号在公网上的地址线索PLANET 把网络里其他节点的地址线索交换给各方——注意它只负责牵线搭桥不负责传数据两个节点各自尝试与对方建立直连通道这就是后面的 NAT 穿透直连成功 → 数据点对点传输直连失败 → 才降级走中继PLANET/MOON 帮忙转发。所以整个系统里PLANET 更像电话总机——帮你查到对方的号码接通之后就挂线剩下你们俩自己聊。2.2 NAT 穿透没有公网 IP 也能直连的魔法你可能要问家里的设备在运营商大内网后面没有公网 IP怎么可能直连这里就是 ZeroTier 的看家本领——UDP 打洞Hole Punching。简单解释你的设备虽然没有公网 IP但当它主动向外发 UDP 包时运营商的 NAT 设备会临时开一个洞并记录一条映射你的私网IP:端口 ↔ NAT的公网IP:某个端口。ZeroTier 的两个节点各自向 PLANET 发送探测包让 PLANET 记下双方 NAT 映射出来的公网地址线索思路类似 STUN 协议然后双方同时向对方的公网地址线索发 UDP 包——因为两边都在主动往外发各自 NAT 上刚开的洞恰好就能互相接收通道就此建立。打洞过程对用户完全透明你只需要知道结论大多数情况下设备能直连NAT 类型宽松时成功率很高实在打不通比如对称型 NAT、严格防火墙ZeroTier 会自动降级为中继模式RELAY虽然速度打折但至少通。2.3 一张图看懂数据流向[PLANET 行星服务器] ←—只负责发现与协调不转发业务数据—→ ↕ 地址线索交换UDP 打洞 ┌────────┴─────────┐ │ │ [家里 NAS] ←—P2P 直连通道—→ [公司电脑] 10.100.0.5 10.100.0.8 │ 打洞失败时降级 │ [PLANET/中继转发兜底能通但慢]2.4 网络 ID 与授权机制每个 ZeroTier 网络有一个16 位十六进制的网络 ID类似a0b1c2d3e4f5a6b7。设备要加入某个网络就执行zerotier-cli join 网络ID。加入不等于能通信——还需要网络管理员在控制台上勾选授权Authorized。这个申请-审批机制保证了网络的安全性不知道网络 ID、没被管理员放行的设备连不进来。三、十五分钟快速上手先用官方的组网服务跑通自建 Planet 属于进阶玩法新手第一步应该先用官方控制器跑通一个最小闭环建立体感。整个过程 15 分钟。3.1 注册账号并创建网络打开 ZeroTier 官网用邮箱或 GitHub 账号注册登录进入ZeroTier Central管理控制台点击Create A Network系统会立刻生成一个网络 ID 和一串类似10.147.20.0/24的管理网段可后续修改记下这个 16 位网络 ID后面客户端要用。新手提示官方免费网络默认网段在10.x.x.x下每个网络免费支持 25 台设备个人折腾完全够用。3.2 在两台设备上安装客户端并加入以 Linux 和 Windows 为例macOS、Android 同理。LinuxUbuntu/Debian 系安装# 官方一条龙安装脚本需要 sudo 权限curl-shttps://install.zerotier.com|sudobash# 启动服务并设置开机自启sudosystemctlenable--nowzerotier-one# 加入网络网络ID换成你自己的sudozerotier-clijoina0b1c2d3e4f5a6b7# 查看状态sudozerotier-cli statusWindows从官网下载安装包一路下一步打开服务管理器找到ZeroTier One确认服务在运行以管理员身份打开 PowerShell执行zerotier-cli.bat join a0b1c2d3e4f5a6b7返回200 join OK即申请成功。3.3 回到控制台授权设备此时打开 ZeroTier Central点进你的网络会看到多了一台待授权的设备显示的是设备名和 ZeroTier 地址。勾选它前面的Authorized复选框几秒钟后页面下方Managed IPs就会自动分配一个虚拟 IP。这一步经常有人漏掉只 join 不 Authorized等于只报了名没进门两边永远 ping 不通。如果发现加入后不通第一反应就去看控制台有没有勾授权。3.4 验证组网成功回到两台设备互相 ping 一下对方的虚拟 IP# 设备 A假设分到 10.147.20.2ping10.147.20.3# 查看邻居和连接方式sudozerotier-cli peerspeers输出里有几列很关键role角色、lat延迟单位毫秒、link连接方式。看到DIRECT说明是点对点直连看到RELAY说明走的是中继。输出示例200 peers ztaddr ver role lat link lastTX lastRX path aaaa... 1.14.0 PLANET 52 DIRECT 0 8994 1.1.1.1/9993 bbbb... 1.14.0 LEAF 14 DIRECT 0 4150 2.2.2.2/9993看到LEAF且DIRECT恭喜你的第一张互联网局域网织好了。四、为什么要自建 Planet官方服务器的水土不服官方组网服务用起来很爽但很多国内用户尤其是要给生产设备做远程运维的用着用着就发现不对劲痛点集中在三点4.1 痛点一官方根服务器在海外延迟高、易抖动ZeroTier 官方的 PLANET 服务器部署在海外。国内设备启动时都要先跟它握手一次做节点发现这个握手路径绕地球半圈入网慢有时候zerotier-cli status半天显示不了 ONLINE握手不稳定高峰期或国际链路抖动时节点发现可能失败表现为明明都装了就是互相发现不了打洞线索交换延迟高双方交换地址线索的 RTT 大建连时间被拉长。注意一个认知误区PLANET 只负责建连阶段的协调直连建立后业务数据不走它。所以自建 Planet 主要改善的是建连速度和稳定性不是传输速度。真正要提升传输速度得靠打洞成功走 P2P或者自建 MOON 优化路径。4.2 痛点二完全依赖第三方心里不踏实对企业/生产环境而言把网络命根子节点发现寄托在别人家的免费服务上风险是实打实的万一官方服务故障、被墙、或者哪天政策变动所有设备的入网协调都会受影响。自建 Planet 等于把网络的总机搬回自己家可控性完全不一样。4.3 痛点三自定义与性能调优空间大自建后你可以自定义根服务器的公网入口端口结合 MOON 做区域加速比如华南放一个 MOON华北放一个让各地设备就近完成节点发现完全掌控网络配置不依赖任何第三方。一句话总结个人玩玩官方够用生产环境、异地设备运维、对稳定性有要求自建 Planet 是更稳的选择。五、自建 Planet 实战把总机搬回自己服务器现在进入正题。我们需要一台有公网 IP 的云服务器国内厂商的轻量服务器即可1 核 1G 都够用因为 Planet 只做协调负载很低。社区里有成熟的 Docker 一键方案我们把整套服务容器化跑起来。5.1 整体架构与端口规划自建 Planet 通常由三部分组成组件作用默认对外端口Planet 服务根服务器负责节点发现与协调9994UDP/TCP可自定义文件下载服务提供planet配置文件下载客户端要替换这个文件3000网络控制器 UIWeb 管理后台创建网络、授权设备、分配 IP3443上面的端口是社区常用一键部署方案基于 ZeroTier 官方组件 ztncui 控制器的默认约定不同方案可能不同以你实际部署的镜像为准。务必记得在云服务器安全组 / 防火墙放行这些端口否则外部设备连不上根服务器——这是新手自建后客户端死活找不到 PLANET的头号原因。5.2 部署步骤第一步克隆一键部署项目到服务器cd/opt/gitclonedocker-zerotier-planet 项目地址# 社区开源的一键部署方案cddocker-zerotier-planet第二步执行部署脚本./deploy.sh脚本会自动完成拉取镜像 → 生成根服务器密钥 → 生成planet文件 → 启动全部容器。看到脚本打印出部署成功的提示和默认登录信息就说明装好了。第三步确认容器状态dockerps正常情况下能看到 planet、controllerWeb UI、下载服务等多个容器都在运行或一个整合容器内多进程。5.3 获取并分发 planet 配置文件脚本运行完成后会在数据目录下生成planet和可选的moon配置文件。有两种方式拿到服务器本地取在数据目录如./data/zerotier/dist下直接拷贝planet文件URL 下载通过下载服务提供的带密钥 URL 直接下载# planet 文件下载x.x.x.x 换成你的服务器公网 IPkey 是部署生成的 http://x.x.x.x:3000/planet?keyxxxx # moon 文件下载如果生成了的话 http://x.x.x.x:3000/生成的moon文件名.moon?keyxxxx⚠️安全提醒这个下载 URL 带 key等于拿到了 key 就能下载你的 planet 配置。生产环境建议下载后立即在下载服务里关闭匿名访问或者干脆只从服务器本地拷贝不让下载服务暴露公网。5.4 在自建控制器上创建网络自建控制器的操作逻辑和官方 Central 类似只是换了个皮肤浏览器访问http://你的服务器IP:3443进入 Web 管理后台使用默认账号登录常见默认是admin / password登录后第一件事就是改密码进入Networks菜单 → 点击Add Network创建网络起一个方便识别的名字创建成功后记下生成的网络 ID后续客户端加入要用。部分控制器还提供 “Easy Setup” 一键分配 IP 的功能勾选后系统自动为授权设备分配虚拟网段的 IP省得手动指定。六、全平台客户端接入核心就一件事——替换 planet 文件自建 Planet 后所有客户端在加入你的网络之前必须先做一件事把客户端自带的官方 planet 文件替换成你自建服务器生成的 planet 文件。原理很简单客户端启动时要先找总机报到默认总机是官方的 Earth你把它配置文件里的总机地址换成自己的它才会去找你的 Planet。替换后必须重启 ZeroTier 服务才生效。不同平台的文件路径和操作如下平台planet 文件路径替换后重启方式WindowsC:\ProgramData\ZeroTier\One\隐藏目录需开启显示隐藏文件服务管理器里重启ZeroTier One服务Linux/var/lib/zerotier-one/planetsudo systemctl restart zerotier-onemacOS/Library/Application Support/ZeroTier/One/planet结束进程重启cat .../zerotier-one.pid | sudo xargs killOpenWrt/etc/config/zero/planet部分固件需软链到/var/lib/zerotier-oneWeb 后台先停用再启用 ZeroTier群晖/飞牛Docker容器内/var/lib/zerotier-one/planet映射到宿主机挂载目录docker restart 容器名6.1 以 Linux 为例的完整接入流程# 1. 备份并替换 planet 文件sudocp/var/lib/zerotier-one/planet /var/lib/zerotier-one/planet.baksudocp./planet /var/lib/zerotier-one/planet# 2. 重启服务sudosystemctl restart zerotier-one# 3. 确认已连上自建 Planetsudozerotier-cli peers# 此时应看到角色为 PLANET 的节点且 path 指向你服务器的公网 IP# 4. 加入网络sudozerotier-clijoina0b1c2d3e4f5a6b7# 5. 回到 Web 控制器授权这台设备# 控制台 Members 里勾选 Authorized# 6. 验证sudozerotier-cli listnetworks# 查看是否拿到虚拟 IPping10.100.0.x# 尝试访问网络里其他设备6.2 群晖 NAS 的 Docker 部署重点很多人卡在 TUN群晖装 ZeroTier 有两个坑一是系统默认没有/dev/net/tun虚拟网卡设备二是官方套件中心可能没有现成套件。用 Docker 是最干净的方式。第一步创建 TUN 设备并设置开机自动创建# 获取 root 权限sudo-i# 写一个开机自动加载 tun 模块的脚本echo-e#!/bin/sh -e \ninsmod /lib/modules/tun.ko/usr/local/etc/rc.d/tun.sh# 给脚本执行权限并立即执行一次chmodax /usr/local/etc/rc.d/tun.sh /usr/local/etc/rc.d/tun.sh# 确认设备已创建ls/dev/net/tun第二步启动 ZeroTier 容器dockerrun-d\--namezt\--restartalways\--device/dev/net/tun\--nethost\--cap-addNET_ADMIN\--cap-addSYS_ADMIN\-v/volume1/docker/zerotier:/var/lib/zerotier-one\zerotier/zerotier-synology:latest参数说明--device/dev/net/tun把 TUN 设备映射进容器--nethost用宿主机网络NET_ADMIN/SYS_ADMIN是创建虚拟网卡所需的权限-v把配置目录持久化到宿主机。第三步替换 planet 并加入网络# 把下载的 planet 文件放到宿主机挂载目录后重启容器dockerrestart zt# 查看状态 / 加入网络 / 查看节点dockerexec-itzt zerotier-cli statusdockerexec-itzt zerotier-clijoin网络IDdockerexec-itzt zerotier-cli peersdockerexec-itzt zerotier-cli listnetworks# 离开网络dockerexec-itzt zerotier-cli leave网络ID6.3 手机端与特殊平台Android官方客户端不支持自定义 planet社区有修改版客户端ZeroTierFix 等支持替换 planet 文件后接入自建网络iOS系统限制严格常规路子是越狱后替换不想越狱的实用方案是用 WireGuard 接入——把一台已入网的 Linux 机器当 WireGuard 服务端iOS 连 WireGuard 即可间接访问整个 ZeroTier 网段Windows替换 planet 后记得重启服务且join命令要以管理员身份运行。手机端是自建 Planet 场景里劝退最多的地方。实用建议主力生产环境给服务器和电脑用自建 Planet手机端图省事可以继续用官方客户端 官方网络或者走 WireGuard 桥接不必强求所有设备都挤进自建网络。七、内网跳板让虚拟网访问整个物理内网到这里你已经能让加入网络的设备之间互相访问了。但现实中更常见的需求是让 ZeroTier 网络里的设备能访问某台跳板机所在的内网网段比如家里的 192.168.1.0/24 里的打印机、摄像头、其他没装 ZeroTier 的设备。这就是内网跳板 / 流量转发玩法。核心思路挑一台既加入了 ZeroTier、又身处目标内网的 Linux 机器当路由器把 ZeroTier 虚拟网卡和内网物理网卡之间的流量打通。假设环境如下配置项实际值说明ZeroTier 虚拟网卡名zt5wf55mbp用ip addr查看通常以zt开头跳板机的 ZeroTier 地址10.100.57.175/24虚拟网段内分配的 IP目标内网网段192.168.1.0/24要透传出去的内网内网物理网卡名ens18连接 192.168.1.0/24 的真实网卡7.1 开启 Linux 内核 IP 转发Linux 默认不转发数据包要先打开开关# 编辑内核参数配置sudovim/etc/sysctl.conf在文件末尾添加net.ipv4.ip_forward 1生效并验证sudosysctl-psysctlnet.ipv4.ip_forward# 输出 net.ipv4.ip_forward 1 即生效7.2 在控制器上宣告路由光有转发还不够ZeroTier 网络里的其他设备不知道去 192.168.1.0/24 要找 10.100.57.175。需要在控制器上告诉全网192.168.1.0/24 这个网段可以通过 10.100.57.175 这个节点访问。操作进入你的网络 → 找到Routes选项卡 → 添加一条路由字段填写Destination192.168.1.0/24Via10.100.57.175跳板机的 ZeroTier 虚拟 IP保存后ZeroTier 会自动把这条路由下发给网内所有设备其他设备访问192.168.1.x时会把包交给跳板机转发。7.3 配置 iptables 转发规则跳板机上要把虚拟网卡 ↔ 物理网卡的双向转发放行# 1. 允许 ZeroTier 网卡 → 内网网卡 的转发sudoiptables-AFORWARD-izt5wf55mbp-oens18-jACCEPT# 2. 允许内网网卡 → ZeroTier 网卡 的回应包转发漏了这条只能单向通sudoiptables-AFORWARD-iens18-ozt5wf55mbp-jACCEPT# 3. 可选放行 ICMP方便用 ping 排查sudoiptables-AINPUT-picmp --icmp-type echo-request-jACCEPTsudoiptables-AOUTPUT-picmp --icmp-type echo-reply-jACCEPT如果只想开放特定服务而不是整个网段可以按端口收窄# 只允许远程访问内网的 SSH22和 Web80sudoiptables-AFORWARD-izt5wf55mbp-oens18-ptcp--dport22-jACCEPTsudoiptables-AFORWARD-izt5wf55mbp-oens18-ptcp--dport80-jACCEPT7.4 保存规则防止重启失效Debian/Ubuntusudoapt-getinstall-yiptables-persistentsudonetfilter-persistent saveCentOS/RHELsudoiptables-save/etc/sysconfig/iptablessudosystemctlenableiptablessudosystemctl start iptables⚠️重要提醒允许转发到内网 允许所有 ZeroTier 网内设备访问你的整个内网。务必保证你的 ZeroTier 网络是私有的只有你授权的设备能加入否则等于把家门钥匙发给了陌生人。建议配合控制器上的成员管理定期清理陌生设备。7.5 静态路由的另一种玩法跳板机方案适合没有路由器管理权限的场景。如果你能登录家里/公司路由器的后台还可以在路由器上添加静态路由目标10.100.0.0/24下一跳指向跳板机的内网 IP如192.168.1.108。这样内网里的普通设备不用装任何客户端也能反向访问 ZeroTier 网内的设备。两种方案按你的网络管理权限取舍。八、进阶修炼MOON、排查与安全8.1 MOON给网络装区域加速器如果你的设备分布很广比如服务器在华东、设备在华南、人在华北单靠一个 Planet 协调所有节点跨区域的建连延迟会偏高。MOON 就是干这个的在区域中心再架一台 MOON 节点让它充当该区域的二级总机区域内设备就近找 MOON 完成发现和协调建连更快、更稳。MOON 的搭建本质和 Planet 类似生成 moon 配置文件、分发到区域内客户端但对新手而言属于加分项而非必选项——节点少、区域集中时单 Planet 完全够用。8.2 故障排查三板斧遇到加入不了 / 连不通按顺序查这三条命令90% 的问题能定位1. 先看服务与网络状态sudozerotier-cli status# 200 info ... ONLINE 才是正常sudozerotier-cli listnetworks# 看是否已加入、是否拿到 IP2. 再看节点连接情况sudozerotier-cli peers重点看两处有没有PLANET角色没有 → planet 文件没替换成功或没重启服务或服务器 9994 端口没放行LEAF节点的link是DIRECT还是RELAYRELAY说明打洞失败检查双方 NAT 类型和防火墙。3. 最后核对授权与 IP控制台上设备是否勾了Authorizedlistnetworks里有没有拿到虚拟 IP没 IP 先看控制台的 IP 分配规则。常见问题速查表现象大概率原因解决办法peers里没有 PLANETplanet 文件未替换/未重启替换后重启 zerotier-one 服务PLANET 一直连接不上服务器防火墙/安全组未放行放行 9994 端口UDP/TCPjoin 成功但 ping 不通控制台没授权勾选 Authorized一直 RELAY 不直连NAT 太严格/防火墙拦 UDP检查两端防火墙必要时接受中继listnetworks 无 IPIP 分配规则未配置控制器里启用自动分配或手动指定8.3 安全清单自建网络不等于绝对安全该做的功课一样不能少改掉控制器默认密码默认admin/password谁都知道网络保持私有不勾选网络的 Public 属性所有设备必须逐个 Authorizedplanet 下载链接的 key 要保密用完最好关闭下载服务的外网暴露定期审查成员列表踢掉不再使用的设备跳板机只开必要端口不要图省事把整个内网无差别暴露关注官方安全公告及时升级客户端与服务器镜像版本。九、场景联想从玩到用最后黑漂技术佬想多说两句价值层面的东西。ZeroTier 这类异地组网工具对个人是玩具对行业是真工具智慧农业分布在不同大棚的采集网关、摄像头、水肥一体机控制器统一组进一张网坐在控制室里就能 SSH 进任何一台边缘设备调参、看日志再也不用跑断腿无人零售/售货柜运维人员远程连接柜内工控机排查故障配合远程桌面直接上手操作故障响应从次日达变成分钟级嵌入式开发出差时远程连回实验室的开发板、交叉编译服务器随手scp固件、adb调试体验和坐在工位前几乎一样。一句话收尾掌握了 ZeroTier你就拥有了一张说织就织的互联网局域网。从今天的一台 NAS、两台服务器开始把它织起来你会发现远程两个字从此变得不值钱。附本文知识地图ZeroTier 是什么 ├─ P2P 虚拟局域网 / 轻量 SD-WAN ├─ 对比传统 VPN / 内网穿透 ├─ 核心概念PLANET / MOON / LEAF ├─ NAT 穿透UDP 打洞失败降级 RELAY ├─ 网络 ID 授权机制 ├─ 快速上手官方 Central 跑通闭环 ├─ 自建 Planet解决官方水土不服 │ ├─ Docker 一键部署9994/3000/3443 │ ├─ 分发 planet 文件 │ └─ Web 控制器建网 授权 ├─ 全平台接入核心 替换 planet 文件 │ ├─ Windows / Linux / macOS / OpenWrt │ ├─ 群晖 / 飞牛Docker TUN │ └─ Android / iOS特殊处理 ├─ 内网跳板虚拟网访问物理内网 │ ├─ 开启 IP 转发sysctl │ ├─ 控制器宣告路由Routes │ ├─ iptables 双向转发 持久化 │ └─ 路由器静态路由玩法 └─ 进阶MOON 加速 / 三板斧排查 / 安全清单