ZeroTier – virtuelle Netzwerke mit Layer-2-Overlay

Aus maxTechCorner

Auf einen Blick

Gilt fürZeroTier One 1.16 (Windows, macOS, Linux, iOS, Android, FreeBSD), OPNsense mit Plugin os-zerotier 1.3.2
BereichIT-Security
Dauerca. 20 Minuten (Netzwerk anlegen, zwei Geräte und OPNsense verbinden)
RechteAdministrator auf den Geräten, Zugang zu ZeroTier Central
StandOktober 2026

ZeroTier ist eine Software für virtuelle Netzwerke, die beliebige Geräte – Notebooks, Server, Smartphones, Firewalls, IoT-Geräte – über das Internet so miteinander verbindet, als hingen sie am selben Switch. Anders als klassische VPNs und anders als WireGuard-basierte Lösungen wie Tailscale oder NetBird bildet ZeroTier ein virtuelles Ethernet (Layer 2) nach: Broadcast, Multicast und sogar Bridging in physische Netze sind möglich. Verbindungen laufen verschlüsselt und – wann immer möglich – direkt von Gerät zu Gerät.

Dieser Artikel erklärt, wie ZeroTier funktioniert, was sich 2025/2026 bei Lizenz und Tarifen geändert hat, wie Sie ein Netzwerk einrichten und wie Sie eine OPNsense-Firewall per Plugin einbinden.

Was ist ZeroTier? Virtuelles Ethernet statt klassischem VPN

Bei ZeroTier gibt es keinen zentralen VPN-Server, über den der gesamte Verkehr fließt. Stattdessen tritt jedes Gerät einem oder mehreren virtuellen Netzwerken bei, die über eine 16-stellige Network ID identifiziert werden. Ein Controller verwaltet, welche Geräte Mitglied sein dürfen und welche IP-Adressen und Regeln gelten; der eigentliche Datenverkehr läuft verschlüsselt direkt zwischen den Geräten (Peer-to-Peer).

Typische Einsatzzwecke:

  • Fernzugriff für Administratoren und Mitarbeitende ohne Portfreigaben in der Firewall
  • Standortvernetzung auch hinter Carrier-Grade-NAT, LTE/5G oder wechselnden IP-Adressen
  • IoT- und OT-Anbindung von Maschinen, Kameras oder Steuerungen
  • Layer-2-Anwendungen, die Broadcast oder Multicast benötigen (z. B. ältere Spiele- oder Industrieprotokolle, Geräteerkennung)
  • Einbettung in eigene Produkte über das SDK libzt

So funktioniert ZeroTier

Baustein Aufgabe
ZeroTier One (Agent) Läuft auf jedem Gerät, erzeugt eine virtuelle Netzwerkkarte und die eigene Node ID (10-stellig, aus dem öffentlichen Schlüssel abgeleitet). Kommuniziert standardmäßig über UDP 9993.
Controller Verwaltet Netzwerke: Mitglieder autorisieren, IP-Adressen vergeben, Routen und Regeln verteilen. Üblicherweise der gehostete Dienst ZeroTier Central.
Root-Server („Planets“) Von ZeroTier betriebene Server, über die sich Geräte finden und die als Relay dienen, wenn keine Direktverbindung möglich ist.
Network-Specific Relays (Beta seit 1.16) Eigene Relay-Knoten pro Netzwerk, die bevorzugt statt der öffentlichen Roots genutzt werden. Die früheren „Moons“ gelten als veraltet.

Ablauf einer Verbindung: Beide Geräte melden sich bei den Root-Servern, finden sich darüber und versuchen per NAT-Traversal („Hole Punching“) eine direkte UDP-Verbindung. Gelingt das nicht, wird der Verkehr über ein Relay geleitet – Ende-zu-Ende-verschlüsselt, das Relay sieht keine Inhalte.

Datei:ZeroTier-Architektur.png
ZeroTier: Der Controller (ZeroTier Central) verwaltet Mitglieder, Adressen und Regeln; die Geräte sind über ein virtuelles Ethernet verbunden und sprechen direkt miteinander – nur im Ausnahmefall über ein Relay.

Was ZeroTier besonders macht

  • Layer 2 statt Layer 3: Ein ZeroTier-Netzwerk ist ein virtueller Switch. Broadcast und Multicast funktionieren, und ein Gerät kann als Bridge ein physisches LAN in das virtuelle Netz einbinden.
  • Flow Rules: Eine eigene Regelsprache im Controller filtert Verkehr netzwerkweit – nach Protokoll, Port, Ethertype oder Tags („Capabilities“). Benutzerdefinierte Flow Rules sind laut Preisseite ab dem Tarif Scale enthalten.
  • Managed Routes: Über den Controller werden Routen zu Netzen hinter einzelnen Mitgliedern verteilt (z. B. ein Büro-LAN hinter einer Firewall).
  • Eigenes Protokoll: ZeroTier nutzt nicht WireGuard, sondern ein eigenes Protokoll mit Curve25519-Schlüsseln und modernen symmetrischen Verfahren. Die Edition ZeroTier Quantum bietet zusätzlich Post-Quanten-Kryptografie (ML-KEM-1024).

Lizenz und Tarife (Stand 2026)

Mit Version 1.16 (August 2025) hat ZeroTier sein Lizenzmodell grundlegend geändert:

  • Der Agent (Kern und Dienst) steht unter der Mozilla Public License 2.0 (MPL).
  • Der Netzwerk-Controller steht unter einer Source-Available-Lizenz: Kostenlos ist er nur für private, nicht-kommerzielle Nutzung, Lehre und eine 30-tägige Evaluierung. Jede Nutzung durch Unternehmen, Behörden und Vereine gilt als kommerziell.
  • Die Standard-Binärpakete enthalten den Controller nicht mehr.


HinweisFür Unternehmen bedeutet das: Ein selbst gehosteter ZeroTier-Controller – auch über Community-Oberflächen, die auf dem eingebauten Controller aufsetzen – ist ohne kommerzielle Lizenz nicht mehr zulässig. Selbst-Hosting ist laut ZeroTier den Tarifen Enterprise und Quantum vorbehalten. Wer die Steuerebene unbedingt selbst und lizenzfrei betreiben will, sollte Alternativen wie NetBird oder Headscale prüfen.
Tarif Preis (Stand 10/2026) Umfang Hinweise
Personal kostenlos 10 Geräte, 1 Netzwerk, 1 Admin nur private, nicht-kommerzielle Nutzung
Essential 18 USD/Monat 10 Geräte inklusive (weitere 2 USD), 10 Netzwerke, 5 Admins kommerzielle Lizenz, OIDC-SSO, API, 30 Tage Audit-Log
Scale 179 USD/Monat 100 Geräte inklusive (weitere 1,80 USD), unbegrenzte Netzwerke benutzerdefinierte Flow Rules, Network-Specific Relays, Support mit SLA
Enterprise / Quantum auf Anfrage ab ca. 500 Geräten Self-Hosting, Air-Gap, 90 Tage Audit-Log, Post-Quanten-Kryptografie (Quantum)

Preise und Grenzen ändern sich regelmäßig – vor einer Entscheidung die aktuelle Preisseite prüfen.

ZeroTier einrichten

Schritt 1: Netzwerk in ZeroTier Central anlegen

  1. Unter my.zerotier.com (ZeroTier Central) ein Konto anlegen bzw. per SSO anmelden.
  2. Create A Network wählen. Die angezeigte Network ID (16 Hexadezimalzeichen) notieren.
  3. In den Netzwerkeinstellungen:
    • Access Control auf Private lassen – neue Geräte müssen dann manuell autorisiert werden.
    • Unter IPv4 Auto-Assign einen privaten Adressbereich wählen, der sich nicht mit vorhandenen Netzen überschneidet (z. B. 10.147.20.0/24).

Schritt 2: Geräte verbinden

  • Windows/macOS: ZeroTier One installieren, über das Tray-Symbol Join New Network wählen und die Network ID eintragen.
  • Linux:
curl -s https://install.zerotier.com | sudo bash
sudo zerotier-cli join <NETWORK-ID>
sudo zerotier-cli listnetworks
  • iOS/Android: ZeroTier-App aus dem App Store bzw. Play Store, Network ID eintragen.

Schritt 3: Mitglieder autorisieren

In ZeroTier Central unter Members erscheinen die neuen Geräte mit ihrer Node ID. Mit dem Haken Auth werden sie freigegeben und erhalten eine IP-Adresse. Sinnvoll: jedem Mitglied einen sprechenden Namen geben und für Server feste Adressen vergeben.

Schritt 4: Zugriff auf ein ganzes LAN (Managed Routes)

Sollen Geräte ohne ZeroTier-Agent erreichbar sein (z. B. ein Büro-LAN), übernimmt ein Mitglied im LAN – idealerweise die Firewall – die Rolle des Routers:

  1. In ZeroTier Central unter Managed Routes eintragen: Ziel 192.168.10.0/24 via ZeroTier-Adresse des Routers (z. B. 10.147.20.1).
  2. Auf dem Router IP-Forwarding aktivieren und Rückroute bzw. Firewall-Regeln setzen – auf OPNsense siehe nächster Abschnitt.

ZeroTier auf OPNsense (Plugin os-zerotier)

Mit dem Plugin os-zerotier wird die Firewall Mitglied eines ZeroTier-Netzwerks und kann als Router für das gesamte LAN dienen – ganz ohne Portfreigaben, auch hinter Provider-NAT.

Installation und Beitritt

  1. System → Firmware → Plugins: os-zerotier installieren, Seite neu laden.
  2. VPN → Zerotier → Settings, Reiter Settings: Enabled aktivieren. Optional local.conf settings (JSON) für knotenspezifische Einstellungen, z. B. einen festen Port.
  3. Reiter Networks: mit + die Network ID eintragen, eine Local Description vergeben und den Eintrag aktivieren – erst dann tritt die Firewall dem Netzwerk bei.
  4. Unter VPN → Zerotier → Overview (Reiter Information) die Node ID der Firewall ablesen und das Mitglied in ZeroTier Central autorisieren.


HinweisIn ZeroTier Central für die Firewall Auto-Assign deaktivieren und eine feste Adresse aus dem ZeroTier-Bereich vergeben. Diese Adresse wird anschließend statisch auf dem Interface der OPNsense eingetragen.

Interface zuweisen

  1. Interfaces → Assignments: das neue Gerät, dessen Name mit zt beginnt, hinzufügen.
  2. Das Interface öffnen, Enable und Prevent interface removal aktivieren (wichtig, weil das ZeroTier-Interface beim Booten verzögert erscheinen kann) und eine sprechende Beschreibung vergeben, z. B. ZEROTIER.
  3. IPv4 Configuration Type: Static IPv4 mit der in ZeroTier Central vergebenen Adresse, IPv4 Upstream Gateway: None.
  4. Save und Apply changes.

Firewall-Regeln

  • Firewall → Rules, Interface ZEROTIER: Den gewünschten Zugriff aus dem ZeroTier-Netz erlauben, z. B. Quelle 10.147.20.0/24 → Ziel LAN net, Ports nach Bedarf. Standardmäßig ist alles blockiert.
  • Für Verbindungen direkt zu anderen Mitgliedern ist keine WAN-Regel nötig; für bessere Direktverbindungen kann eingehend UDP 9993 auf der WAN-Adresse erlaubt werden.
  • Soll das ZeroTier-Netz das LAN ohne Managed Route erreichen, alternativ eine Source NAT-Regel auf dem LAN-Interface für das ZeroTier-Netz anlegen (Firewall → NAT → Source NAT) – dann brauchen die LAN-Geräte keine Rückroute.

Da das ZeroTier-Interface ein normales OPNsense-Interface ist, stehen auch IDS/IPS, Traffic Shaping und dynamisches Routing (OSPF/BGP über das Plugin os-frr) zur Verfügung.

Sicherheit und Betrieb

  • Netzwerke privat halten und jedes Mitglied bewusst autorisieren; ausgeschiedene Geräte sofort deautorisieren bzw. löschen.
  • Flow Rules oder Firewall-Regeln nutzen – ein ZeroTier-Netz ist standardmäßig ein flaches Netz, in dem jeder mit jedem sprechen kann.
  • SSO und mehrere Admins (ab Tarif Essential) statt eines geteilten Kontos verwenden.
  • Lizenz beachten: Firmen benötigen einen kommerziellen Tarif – auch für kleine Installationen.
  • Abhängigkeit vom Anbieter: Controller und Root-Server werden von ZeroTier betrieben. Fällt ZeroTier Central aus, laufen bestehende Verbindungen weiter, Änderungen sind aber nicht möglich.
  • Monitoring: Verbindungs- und Audit-Logs regelmäßig prüfen bzw. per Webhook an ein SIEM weiterleiten, z. B. ein Open-Source-SIEM auf Wazuh-Basis.

ZeroTier im Vergleich

Kriterium ZeroTier Tailscale NetBird
Netzwerkebene Layer 2 (virtuelles Ethernet) Layer 3 Layer 3
Protokoll Eigenes Protokoll WireGuard WireGuard
Steuerebene selbst hosten Nur Enterprise/Quantum Nein (Alternative: Headscale) Ja, offiziell (AGPLv3)
Benutzer-Anmeldung Geräte-Autorisierung, OIDC für Admins SSO für Benutzer und Geräte SSO/MFA für Benutzer und Geräte
Kostenlos für Firmen Nein Ja, bis 6 Benutzer Self-Hosted: ja
OPNsense-Plugin os-zerotier os-tailscale os-netbird

Fazit

ZeroTier ist die richtige Wahl, wenn ein virtuelles Ethernet gebraucht wird – etwa für Broadcast- oder Multicast-Anwendungen, Bridging oder die Einbettung in eigene Geräte. Für die reine Benutzer- und Standortvernetzung im Unternehmen sind WireGuard-basierte Lösungen mit integrierter Benutzeranmeldung oft komfortabler. Seit der Lizenzänderung 2025 gilt zudem: Unternehmen brauchen einen kostenpflichtigen Tarif, und Selbst-Hosting der Steuerebene ist nur noch im Enterprise-Segment vorgesehen.

Unterstützung von m.a.x. it

Sie möchten Standorte, IoT-Geräte oder Fernzugriffe per ZeroTier, Tailscale oder NetBird anbinden oder die passende Lösung für Ihr Unternehmen auswählen? m.a.x. it unterstützt Sie bei Auswahl, Integration in Ihre OPNsense-Firewall und Betrieb – mit OPNsense-Firewall-Services von m.a.x. it und einer Managed Firewall von m.a.x. it.

Siehe auch

Links und Quellen


Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung? Kontakt aufnehmen

Abgerufen von „https://techcorner.max-it.de/index.php?title=ZeroTier_–_virtuelle_Netzwerke_mit_Layer-2-Overlay&oldid=5169“