Como criar uma VPN com ZeroTier: Linux, Windows, celular e MikroTik

Precisa acessar servidores, câmeras ou a rede do escritório de qualquer lugar, mas não tem IP fixo, está atrás de CGNAT ou não quer abrir portas no firewall? O ZeroTier resolve isso em poucos minutos: cada dispositivo entra numa rede virtual e passa a enxergar os outros como se estivessem no mesmo switch.

Neste tutorial você vai criar a rede, instalar o ZeroTier no Linux, no Windows e no celular, liberar o acesso à rede local inteira por um gateway e configurar o ZeroTier direto no MikroTik.

O que é o ZeroTier

O ZeroTier é uma rede virtual (SD-WAN) que liga dispositivos pela internet com criptografia de ponta a ponta. Diferente de uma VPN tradicional, não existe um concentrador por onde todo o tráfego passa:

• um controlador (o ZeroTier Central, na nuvem, ou um próprio) define quem pode entrar e quais IPs cada um recebe;
• os dispositivos se encontram com ajuda dos servidores do ZeroTier e conversam diretamente, atravessando NAT e CGNAT;
• só é preciso saída para a internet na porta UDP 9993, sem IP fixo nem redirecionamento de portas.

É uma boa escolha para acesso remoto da equipe, suporte a clientes, interligar filiais pequenas e gerenciar equipamentos atrás de CGNAT.

Criando a rede

1. Crie uma conta em my.zerotier.com e clique em Create A Network.
2. Anote o Network ID, um código de 16 caracteres como 8056c2e21c000001.
3. Em Access Control, mantenha Private. Assim, cada dispositivo só entra depois que você autorizar.
4. Em IPv4 Auto-Assign, escolha uma faixa que não exista nas redes que você vai acessar. Fuja de 192.168.0.0/24 e 192.168.1.0/24, que são as mais comuns em roteadores domésticos. Nos exemplos usamos 10.147.17.0/24.

Instalando no Linux

O instalador oficial detecta a distribuição e adiciona o repositório do ZeroTier:

curl -s https://install.zerotier.com | sudo bash

# Confere se o serviço está no ar
sudo zerotier-cli info
# 200 info a1b2c3d4e5 1.14.2 ONLINE

# Entra na rede
sudo zerotier-cli join 8056c2e21c000001
# 200 join OK

O código de 10 caracteres que aparece no info é o Node ID do dispositivo, usado para identificá-lo no painel. O serviço se chama zerotier-one e já fica habilitado para iniciar com o sistema.

Windows, macOS, Android e iOS

Baixe o aplicativo em zerotier.com/download (no celular, pela loja de aplicativos), abra e use a opção Join New Network com o Network ID. No celular, o aplicativo pede permissão para criar uma VPN: aceite.

No Windows, aparece um aviso pedindo para permitir que o computador seja encontrado na rede. Responda Sim se quiser compartilhar pastas ou acessar o computador pela VPN.

Autorizando e testando

Até ser autorizado, o dispositivo fica com status ACCESS_DENIED. No ZeroTier Central, abra a rede, vá em Members e marque a caixa Auth de cada dispositivo. Aproveite para dar um nome a cada um.

sudo zerotier-cli listnetworks
# 200 listnetworks <nwid> <name> <mac> <status> <type> <dev> <ZT assigned ips>
# 200 listnetworks 8056c2e21c000001 escritorio 7e:1a:... OK PRIVATE ztabcdef12 10.147.17.21/24

ping 10.147.17.35

# Conexões com os outros dispositivos: DIRECT é o ideal, RELAY é mais lento
sudo zerotier-cli peers

Com o status OK e o IP atribuído, os dispositivos já se comunicam pelos IPs da faixa do ZeroTier.

Acessando a rede local inteira

Instalar o ZeroTier em cada equipamento nem sempre é possível: impressoras, câmeras, switches e servidores antigos não rodam o cliente. A solução é usar um computador Linux da rede local como gateway. Nos exemplos, a rede local é 192.168.50.0/24 e o gateway tem o IP 10.147.17.1 no ZeroTier.

1. No ZeroTier Central, em Managed Routes, adicione uma rota com destino 192.168.50.0/24 e via 10.147.17.1. Todos os membros da rede passam a mandar o tráfego da rede local para o gateway.

2. No gateway, habilite o encaminhamento de pacotes e o NAT:

# Encaminhamento de pacotes, permanente
echo "net.ipv4.ip_forward=1" | sudo tee /etc/sysctl.d/99-zerotier.conf
sudo sysctl -p /etc/sysctl.d/99-zerotier.conf

# Interfaces: a física da rede local e a do ZeroTier (veja no listnetworks)
PHY_IFACE=eth0
ZT_IFACE=ztabcdef12

sudo iptables -t nat -A POSTROUTING -o $PHY_IFACE -j MASQUERADE
sudo iptables -A FORWARD -i $PHY_IFACE -o $ZT_IFACE -m state --state RELATED,ESTABLISHED -j ACCEPT
sudo iptables -A FORWARD -i $ZT_IFACE -o $PHY_IFACE -j ACCEPT

# Mantém as regras após reiniciar (Debian e Ubuntu)
sudo apt install iptables-persistent
sudo sh -c 'iptables-save > /etc/iptables/rules.v4'

Pronto: de qualquer dispositivo da rede ZeroTier, ping 192.168.50.10 chega ao equipamento da rede local, que enxerga as conexões como vindas do gateway.

Se preferir não usar NAT, para que os equipamentos vejam o IP real de quem acessa, remova a regra de MASQUERADE e crie no roteador da rede local uma rota estática para 10.147.17.0/24 via o IP local do gateway.

ZeroTier no MikroTik

No RouterOS 7, o próprio roteador pode entrar na rede ZeroTier e fazer o papel de gateway, sem precisar de um servidor Linux. O recurso existe apenas para modelos ARM e ARM64 (como as linhas hAP ax, RB5009, CCR2004 e CCR2116) e vem num pacote extra.

1. Baixe o pacote Extra packages da sua versão e arquitetura em mikrotik.com/download, envie o arquivo zerotier-*.npk para o roteador (Files) e reinicie.
2. Se o roteador usar device-mode, confirme que o ZeroTier está permitido em System → Device-mode.

/zerotier enable zt1
/zerotier interface add network=8056c2e21c000001 instance=zt1
/zerotier interface print

# Libera o acesso vindo do ZeroTier ao roteador e à rede local
/ip firewall filter add chain=input in-interface=zerotier1 action=accept place-before=0
/ip firewall filter add chain=forward in-interface=zerotier1 action=accept place-before=0

Autorize o MikroTik no ZeroTier Central como qualquer outro membro e use o IP dele na rota gerenciada da rede local, do mesmo jeito da seção anterior. Como o MikroTik já é o roteador da rede, não é preciso NAT: os equipamentos locais respondem por ele naturalmente.

Segurança

• Rede privada sempre. Com a rede pública, qualquer pessoa com o Network ID entra.
• Revise os membros. Desautorize e remova dispositivos de quem saiu da equipe. Dispositivos sem uso aparecem com o "Last Seen" antigo no painel.
• Firewall continua valendo. Trate a interface do ZeroTier como uma rede externa no firewall do gateway e libere só o que for necessário, em vez de aceitar tudo.
• Flow Rules. Na aba de regras da rede é possível limitar protocolos e portas por membro ou por tag, por exemplo, permitindo que técnicos acessem só SSH e HTTPS.
• Controlador próprio. Para não depender da nuvem do ZeroTier, o próprio zerotier-one pode atuar como controlador, inclusive no MikroTik.

Erros comuns

Do tutorial à produção

Para acessar a rede de casa ou de um escritório pequeno, este tutorial basta. Em uma empresa, com equipe, filiais e equipamentos de clientes, a VPN vira infraestrutura crítica, e aí entram pontos que ficam fora deste tutorial:

• Acesso por perfil. Flow Rules e tags para que cada técnico, fornecedor ou filial acesse só o que precisa, com revisão periódica.
• Gateways redundantes. Mais de um gateway por rede local, para a VPN não depender de um único servidor.
• Controlador próprio. Rede sem depender da nuvem do ZeroTier, com backup e alta disponibilidade do controlador.
• Integração com o firewall e o roteamento. Rotas, NAT e regras alinhadas ao restante da rede, sem abrir mais do que o necessário.
• Auditoria. Registro de quem acessou o quê e remoção imediata de quem sai da equipe.

Perguntas frequentes

O ZeroTier é gratuito?

Existe um plano gratuito para uso pessoal, com limite de dispositivos (10 na tabela de preços vigente em outubro de 2026). Para empresas ou mais dispositivos há planos pagos, ou você pode hospedar o próprio controlador.

Preciso abrir portas no roteador para usar o ZeroTier?

Não. Os dispositivos se conectam para fora, pela porta UDP 9993, e o ZeroTier atravessa o NAT na maioria dos casos. Abrir a 9993/UDP em um dos lados só ajuda quando a conexão direta não acontece.

Qual a diferença entre ZeroTier e WireGuard?

O WireGuard é um protocolo de túnel: você configura chaves, endereços e endpoints em cada ponta e precisa de pelo menos um lado acessível. O ZeroTier cria uma rede virtual gerenciada por um controlador, com descoberta de pares e travessia de NAT automáticas. É mais simples para muitos dispositivos espalhados; o WireGuard é mais leve e não depende de terceiros.

O tráfego passa pelos servidores do ZeroTier?

Normalmente não. Os servidores ajudam os dispositivos a se encontrarem e o tráfego segue direto entre eles, criptografado de ponta a ponta. Só quando a conexão direta é impossível ele passa por um relay, ainda criptografado.