ZeroTier: rete virtuale globale
ZeroTier è una rete virtuale software-defined che combina concetti di VPN e SD-WAN: opera a livello 2 (ethernet) consentendo di costruire LAN globali dove dispositivi geograficamente lontani si vedono come se fossero sullo stesso switch. È usata da gamer, aziende e installazioni IoT.
Architettura e Network ID
ZeroTier identifica ogni rete con un Network ID a 16 caratteri esadecimali. Il controller ZeroTier (cloud o self-hosted) gestisce membri, ACL e routing. I peer cercano connessioni dirette UDP; se NAT impedisce, usano relay root server di ZeroTier.
Procedura passo-passo
- Registrati su my.zerotier.com e crea una nuova network ottenendo il Network ID.
- Imposta IPv4 auto-assign range e se vuoi abilita IPv6 auto-assign 6plane/RFC4193.
- Installa ZeroTier su ogni dispositivo (apt install zerotier-one, brew install, Windows MSI).
- Da terminale esegui zerotier-cli join NETWORK_ID e autorizza il nodo nella console web.
- Verifica con zerotier-cli listnetworks che lo stato sia OK e che venga assegnato un'IP.
- Configura ACL nella tab Flow Rules per controllare quali nodi possono parlarsi e su quali porte.
- Per esporre una LAN aggiungi rotte managed nella scheda Settings e abilita allow ethernet bridging.
Controller self-hosted
Per scenari aziendali o privacy-conscious, ZeroTier permette di self-hostare il controller con ztncui (web UI) o my-zerotier (CLI). Installa ZeroTier-One su un VPS, abilita la modalita controller, distribuisci il Network ID generato localmente. I client si connetteranno al tuo controller invece che a my.zerotier.com, dandoti pieno controllo su autorizzazioni e log.
Routing avanzato e bridging
ZeroTier supporta managed routes per esporre LAN intere: configura una rotta es. 192.168.10.0/24 via 10.147.17.5 (un nodo gateway). Sul nodo gateway abilita IP forwarding e iptables MASQUERADE, e bridging ethernet se serve discovery L2. Questo trasforma ZeroTier in una soluzione SD-WAN leggera, alternativa a tunnel IPsec tradizionali.
Flow rules per microsegmentazione
Le Flow Rules di ZeroTier sono un linguaggio dichiarativo per filtrare il traffico nella rete virtuale. Esempi: drop not chr ipauth; accept dport 22 dtag department=it; drop. Consentono di implementare microsegmentazione zero-trust senza dover modificare configurazioni sui singoli nodi. Documentazione dettagliata sul sito ZeroTier copre casi avanzati.
Confronto con Tailscale
Tailscale e ZeroTier sono entrambe SDN/mesh, ma con approcci diversi: Tailscale e L3 (IP routing), basata su WireGuard, semplicità estrema. ZeroTier e L2 (ethernet), protocollo proprietario, più flessibile (broadcast, multicast, custom protocols). Per casi d'uso developer/IT scegli Tailscale; per setup che richiedono L2 (clustering, mDNS discovery, vecchi servizi LAN) ZeroTier vince.
API e automazione
ZeroTier espone API REST per automazione: creare network, aggiungere/rimuovere membri, modificare regole. Utile per onboarding/offboarding automatizzato in workflow CI/CD o sincronizzazione con HR system. Token API ottenibile da my.zerotier.com > Account. Endpoint principale https://my.zerotier.com/api/network.
Best practice di sicurezza
Indipendentemente dalla soluzione VPN scelta, alcune regole valgono sempre: usa chiavi e certificati robusti (RSA 2048+ o ECC P-256+, chiavi WireGuard generate con tool ufficiali), aggiorna regolarmente sia il software server sia i client, applica patch security non appena rilasciate, monitora i log per identificare attività anomale, ruota le credenziali periodicamente, segmenta la rete in modo che il tunnel non dia accesso indiscriminato a tutta la LAN aziendale, e formalizza una policy di disaster recovery con backup delle configurazioni. La VPN protegge il tunnel in transito ma non sostituisce hygiene di sicurezza degli endpoint: combina con MFA, EDR, patching aggressivo e formazione utenti per ottenere una postura di sicurezza completa.
Monitoring e osservabilita
Una VPN che non viene monitorata è una VPN che non sai se funziona. Raccogli metriche minime: numero di sessioni attive, latenza media end-to-end, percentuale di handshake riusciti vs falliti, throughput aggregato, geolocazione client. Strumenti come Prometheus + Grafana, Zabbix, PRTG o stack ELK forniscono dashboard utili. Configura alert proattivi su soglie critiche: tunnel down per oltre N minuti, picchi anomali di tentativi di autenticazione falliti, traffico fuori orario. In ambito aziendale integra con SIEM per correlazione cross-system e response automatica. Il monitoring continuo trasforma la VPN da componente passiva a infrastruttura osservabile e tunable nel tempo.
Documentazione e procedure operative
Documenta sempre l'architettura VPN come la documentereresti per un nuovo collega che la prende in carico domani: diagramma di rete, IP scheme, chiavi/certificati e dove sono custoditi, procedure di onboarding e revoca utenti, processi di rotazione chiavi, runbook per incidenti comuni (tunnel giu, latency anomala, certificato scaduto), responsabilità ownership. Conserva la documentazione in un wiki interno (Confluence, BookStack, GitBook) versionato e con backup. Quando un membro del team lascia, basta passare il riferimento alla documentazione: continuita operativa garantita anche con turnover.
Errori comuni e come risolverli
- Nodo PENDING perpetuo: non e stato autorizzato: spunta la casella Auth nella console del network.
- IP non assegnato: il range IPv4 auto-assign e esaurito o sovrapposto a un'altra subnet locale.
- Bridging non funziona: su Linux serve attivare il flag allowEthernetBridging sul nodo e creare bridge L2.
- Latenza alta: il traffico passa via root server: verifica che UDP 9993 sia aperto e che UPnP funzioni.
Domande frequenti
D: ZeroTier e gratuito?
R: Si fino a 25 nodi su account Free; piani Business per controller self-hosted o teams più grandi.
D: Posso usarlo come site-to-site?
R: Si, basta che un nodo agisca come gateway con managed route verso la LAN.
D: Differenza con Tailscale?
R: Tailscale e L3 è basata su WireGuard, ZeroTier e L2 con protocollo proprio: ZeroTier permette broadcast/multicast che Tailscale no.
Hai bisogno di aiuto?
Se vuoi configurare VPN aziendale con G Tech Group, scrivici tramite il modulo di contatto.