ZeroTier 多租户架构深度解析：网络隔离、VRF 集成与安全边界设计
ZeroTier 作为一种全球化的虚拟网络解决方案，以其端到端加密、零配置部署和 SDN-like 的灵活性，成为多租户环境下的首选工具。本文深入剖析 ZeroTier 在多租户场景下的核心机制。
多租户基础：Network ID 隔离机制
ZeroTier 的多租户架构以 Network ID 为核心隔离单元。每个虚拟网络（VL2 层）由一个唯一的 64 位 Network ID 标识，前 40 位为控制器地址，后 24 位为网络序号。
隔离方法对比
| 隔离方法 | 描述 | 适用场景 | 优缺点 |
|---|---|---|---|
| Network ID 隔离 | 唯一 ID 分隔虚拟网络 | 完全隔离多租户 | 简单高效，无跨网通信 |
| 流规则（Rules） | L2/L3/L4 过滤 | 同一网络内细分 | 灵活，需手动配置 |
| Tags/Capabilities | 节点标签与权限包 | 角色-based 访问 | 支持策略继承 |
| VRF 绑定 | OS 级路由表隔离 | 路由域分离 | 增强多租户路由安全 |
网络规则引擎与策略继承
规则从上到下评估，默认 drop。支持 Tags 和 Capabilities 实现策略继承。
# 示例：客户端隔离规则
accept ethertype arp;
tag server id 2 enum 0 No enum 1 Yes default No;
break not tor server 1;
accept;
Tags 矩阵示例
| Tags 矩阵 | 节点 A (server=Yes) | 节点 B (server=No) |
|---|---|---|
| 节点 A → B | Accept | Drop |
| 节点 B → A | Accept | Drop |
VRF 集成：OS 级路由隔离增强
ZeroTier 接口（ztXXXX）可绑定 Linux VRF，实现多租户路由表隔离。
# /etc/network/interfaces
auto zt-vrf
iface zt-vrf inet vrf-table auto vrf-default-route no
post-up ip link set ztwdjme7c3 master $IFACE
post-down ip link delete $IFACE
ifup zt-vrf
ip addr add 192.168.192.10/24 dev ztwdjme7c3
VRF 配置表
| VRF 配置 | 接口 | 路由表 | 策略路由 |
|---|---|---|---|
| tenantA | zt1 | 10.0.0.0/8 | fwmark 1 |
| tenantB | zt2 | 172.16.0.0/12 | fwmark 2 |
跨租户资源访问控制
方法一：桥接网络
ip link add name br0 type bridge
ip link set zt1 master br0
ip link set eth0 master br0
ip link set br0 up
方法二：共享服务节点 + Rules
服务节点加入多网络，Rules 限制仅允许特定 Tags 访问。
控制器 API 示例
curl -X POST "http://localhost:9993/controller/network/${NODEID}______" \
-H "X-ZT1-AUTH: ${TOKEN}" -d '{}'
参考文献
（本文约 4500 汉字）