ZeroTier
VL2 虚拟以太网交换 · Planets/Moons 拓扑 · Salsa20/Poly1305 加密 · 全球二层虚拟局域网
由 Adam Ierymenko 等于 2015 年开源的工业级虚拟网络互联技术[1]。 将整个互联网虚拟化为一台跨地域的第二层以太网交换机（VL2）， 将真实的以太网帧透明封装在经过 Salsa20/Poly1305 加密的 UDP 报文中传输。 支持以太网组播与广播特性，广泛应用于工控物联网、NAS 互联、联机游戏以及配合网关实现的跨国异地专网互通[2]。
日期辨析：2011 年 11 月 VL2 架构设计 vs 2015 年 6 月 1.0.0 正式发布
Adam Ierymenko 确立将广域网虚拟化为巨大第二层以太网交换机的技术蓝图。
ZeroTier One 1.0.0 正式发布，确立基于 Salsa20/Poly1305 加密与 UDP 穿透的二层组网协议标准。
推出 1.4 架构重构，强化自建 Moon 根服务器支持并优化穿透，随后进入各类路由器与代理内核。
编写口径：所有时间节点严格以 ZeroTier 官方技术文档与代码仓库发布记录为依据。
词条概览与核心定位
01绝大多数 VPN 协议（如 WireGuard、OpenVPN TUN 模式）运行在网络层（Layer 3），处理的是 IP 数据包。 这在单机上网或出口代理时十分高效，但在处理依赖局域网广播发现、mDNS、二层组播或非 IP 协议的复杂工业网络与本地局域网联机游戏时， 三层隧道往往无能为力。
ZeroTier 独辟蹊径地采用了第二层以太网虚拟化（VL2）架构[1]： 在系统内核中创建 TAP 虚拟网卡，像真实的物理以太网网卡一样拥有独立的 MAC 地址。 无论两个物理节点位于同一个小区的两户人家，还是分处相隔万里的不同国家， 只要加入同一个 16 位的网络 ID，它们在操作系统看来就像插在同一台物理以太网交换机上， 数据帧直接以点对点 UDP 穿透方式极速交付[2]。
ZeroTier 属于成熟稳健的工业级二层虚拟网络交换基础设施。 它不是专为对抗 GFW 深度包检测设计的单点翻墙代理， 但在技术人员搭建跨国私有链路、多机房路由互联以及家庭内网全流量旁路中继中占据着重要地位。
虚拟以太网层与 Planets/Moons 架构
02以太网帧通过 ZeroTier 的端到端流转
- 节点发现与打洞请求：节点向 Planet/Moon 查询目标对端的公网物理 IP:Port，双方并发发送 UDP 探测包穿越 NAT。
- P2P 直连通道建立：一旦 NAT 穿透成功，后续以太网流量不再经过任何中继，直接以端到端加密形式在 UDP 9993 端口间直传。
- 二层广播与 ARP 虚拟化：节点广播 ARP 请求，只有目标节点会在虚拟网卡层面应答 MAC，完成透明以太网拓扑虚拟化。
跨国链路审查与 QoS 限制
ZeroTier 的底层 UDP 报文具有明确的协议特征头部。 跨国运营商经常对未识别的高带宽 UDP 流量实施激进的 QoS 丢包或带宽限速； 在连接境外节点用于翻墙出站时，建议搭配自建 Moon 节点或在外部包裹混淆隧道以保持稳定性。
版本演进时间线（共 6 个关键节点）
03以下时间线记录了 ZeroTier 从 2011 年虚拟网络构想、2015 年 1.0 正式发布、推出 Moon 自定义根到被各类软路由与代理生态集成的全景里程碑：
2011 年 - 2015 年：从虚拟交换机构想到 1.0 发布
ZeroTier One 1.0.0 正式发布并开源
正式推出 1.0.0 核心代码库，确立点对点加密打洞、公共 Planet 根服务器与全球分布式网络体系。
GitHub：ZeroTier 1.0.0 Release
2016 年 - 2019 年：自建 Moon 根与企业级穿透进化
2021 年 - 2026 年：全行业普及与代理内核集成
生态实现与客户端兼容性
04ZeroTier 拥有覆盖全操作系统的成熟客户端，并在工业路由器与网络存储（NAS）生态中被广泛支持。
| 软件 / 内核 | 类型 | 支持平台 | 支持级别 | 起始版本 | 发布日期 | 特性说明 |
|---|---|---|---|---|---|---|
| ZeroTier One 官方客户端 | 客户端 | 全平台 (Windows, macOS, Linux, iOS, Android, FreeBSD) | 官方参考实现 | 1.0.0+ | 2015.06.25 | 全平台桌面与移动端系统服务，输入 16 位 Network ID 即可一键加入虚拟以太网。 |
| OpenWrt / iStoreOS 路由固件插件 | 客户端 | Linux / OpenWrt 路由器 | 路由器原生支持 | 1.2.0+ | 2017.03.15 | 广泛内置于软路由系统中，将整个家庭内网无感桥接进入跨地域虚拟局域网。 |
| 群晖 Synology / 威联通 QNAP 套件 | 客户端 | NAS 系统 | 官方套件中心支持 | 1.2.12+ | 2018.05.20 | 各大网络存储品牌原生集成，实现无公网 IP 异地挂载与秒级文件备份同步。 |
| Mihomo (Clash Meta) | 核心内核 | 全平台 | 代理内核集成 | v1.18.0+ | 2024.03.11 | 在代理内核虚拟化与出站网络中接入 ZeroTier 网络，支持与代理出站规则协同调度。 |
适用场景、网络边界与部署建议
05最佳适用场景
二层以太网组网：需要依赖 mDNS 设备发现、广播通知或异地局域网联机游戏的场景； 跨地域软路由桥接：在 OpenWrt 路由器上运行 ZeroTier，实现两个家庭局域网直接桥接互通； 全自主 Moon 中继：在境内与境外自建高速 Moon 服务器，彻底掌控信令交换并避免官方公共根服务不稳定。
网络边界与安全注意事项
二层广播开销：当网络内设备数量达到数百台时，二层广播报文在广域网传输会带来一定的带宽浪费； 缺乏防 DPI 伪装：专有 UDP 头部格式在跨国公网上缺乏高级流量伪装，易受运营商 QoS 限速； 翻墙需额外配置默认路由：ZeroTier 默认仅路由虚拟网段流量；若需通过其翻墙，需手动在控制台配置 0.0.0.0/0 并开启 Linux 转发。
第一手文献与官方参考资料
06词条事实与技术定义均以 ZeroTier 官方技术白皮书与开源代码库为准：
- [1]ZeroTier Manual & Virtual Layer 2 Architecture官方技术白皮书，详述 VL2 虚拟以太网层、以太网帧封装格式与全球 Planet 节点信令机制。https://docs.zerotier.com/
- [2]ZeroTier One 官方开源代码仓库与发布日志托管在 GitHub 的核心 C++ 开源实现，记录历代版本演进与协议变更。https://github.com/zerotier/ZeroTierOne
- [3]ZeroTier Cryptography Protocol & Security Review官方密码学设计文档，涵盖 Curve25519、Salsa20 与 Poly1305 的双向身份验证与报文加密规范。https://docs.zerotier.com/zerotier/cryptography/
- [4]Self-Hosting ZeroTier Roots (Moons Architecture)官方自建根节点配置指南，解释如何利用中继服务优化跨国高延迟网络下的直连打洞效率。https://docs.zerotier.com/roots/