最近搜"ZeroTier 连公司内网"，你会发现网上是两拨完全对立的人。
一拨在写保姆级教程，说 ZeroTier 是"零成本方案里最平衡的选择"，手把手教你从外地连回公司 ERP，宣传"0 延迟、无限速、纯免费"。知乎另一拨在写血泪弃坑帖，折腾俩月之后的结论是：给公司用，最后大概率还是回到"能备案、按账号管权限"的方案上去。知乎
有意思的是，这两拨人说的都是真的。差别只在一件事上：你是给自己连办公电脑，还是要给全公司铺开。这条线不划清楚，前者是省钱神器，后者就是给自己挖坑。今天就把这条线给你划明白。
先说给自己用：为什么这场景 ZeroTier 是真的甜
场景很具体：在家连公司的电脑，远程桌面、查 ERP、传个文件。这个场景下 ZeroTier 的优点几乎全是真的：
不用公网 IP，也不用在路由器上做端口映射。 这一点对远程桌面尤其关键。把 Windows 远程桌面的 3389 端口直接暴露在公网，圈内说法是"三天必被扫、一周必中招"，等于裸奔。知乎ZeroTier 的做法是把你的设备拉进一个加密的虚拟局域网，用虚拟内网 IP 直连，端口全程不对公网开放。这不是玄学，是结构上就不给扫描器留门。
免费，部署快。 两台电脑各装一个客户端，加入同一个 Network ID，去控制台点一下授权，就通了。个人几台设备的量，免费额度完全够用。（注意：新注册账号的免费设备数这两年收紧过，10 台、25 台的说法网上混成一锅，我之前专门翻过一遍把它理清了，这里不展开。）只需要记住一点：新账号别指望超过 10 台。小红书
但甜归甜，坑是真有，而且都是教程作者自己踩出来的：
Windows 防火墙默认会拦 ZeroTier 的虚拟 IP。 很多人装完发现 ping 得通、ERP 页面打不开，八成是服务器这边防火墙没放行对应端口，这条不处理，后面全白搭。知乎
虚拟网段可能冲突。 ZeroTier 默认分配 10.x 网段，如果你公司或家里的局域网恰好也是 10.x，两边会打架。解决办法是在控制台改 Managed Routes 的网段，比如换成 10.55.0.0/16。知乎
UDP 9993 要放行。 这是 ZeroTier 打洞用的默认端口，公司网络如果把它掐了，直连就建立不起来，只能绕中继。
教程里的控制台地址可能是旧的。 不少教程还写着 my.zerotier.com，但 ZeroTier 官方现在把控制台分成了新旧两套：老版 Legacy Central 是 my.zerotier.com，新版 New Central 是 central.zerotier.com，连官方文档都得分版本写说明。ZeroTier 官方文档按老教程操作找不到网络入口别慌，不是你的问题（这事我之前也专门写过一篇）。
这四条处理完，个人远程办公场景基本就稳了。
再说给公司铺开：为什么几乎都翻车
先看一份样本。有位给公司搞远程访问的兄弟写了篇折腾记录：公司一百来人，有出差和居家办公的需求，要远程访问 ERP、财务系统和文件服务器。他最先试的就是 ZeroTier，小范围测确实能用，几个人连得挺好，但一上规模就开始暴露问题。知乎他原话很直白：技术宅自己折腾没问题，但要对一百号人的访问负责，hold 不住。
注意，他说的翻车点，没有一条是"连不上"这种技术问题。把各类企业踩坑帖归纳起来，卡住的都是这四件事：
第一，它管的是"设备"，不是"人"。 ZeroTier 的授权粒度是一台台设备：控制台里的成员列表，列的是设备，不是身份。员工离职，你能做的只是在控制台里把那条设备授权删掉。如果对方电脑上的客户端没卸、你又漏删了一条，这个访问权限就一直挂在那儿。没有按身份的账号体系，没有"离职一键回收"，几个人你盯得过来，几十上百人就是给自己埋雷。
第二，免费额度天然封顶。 新账号免费就 10 台上下，全公司一铺、人均再算上电脑加手机，秒超。知乎超了就得看付费档，而一旦开始付费，你就有理由把那些专门给企业做的方案拉进来一起比了。
第三，稳定性和合规的不确定性。 社区反复吐槽的一点：ZeroTier 的根服务器和中继节点大多在境外，打洞失败走中继时，实测速度经常不到 0.5MB/s。知乎连 ZeroTier 官方文档都承认，根服务器偶尔会过载、离你的网络可能不够近。ZeroTier 官方文档个人用慢点能忍，公司生产环境里"稳定性不可控"本身就是个问题；真有合规审计要过，"控制面在境外"这一条也很难解释清楚。
第四，没有审计，没有日志，没有 SLA。 谁在什么时间连进来、访问了什么，查不到。出了事说不清，责任全在搭网的那个人头上。这就是"个人玩具"和"生产环境"的分界线——不是工具不好，是出了问题的代价没人接得住。
给你划三条线
场景 | 判断 | 怎么做 |
|---|---|---|
自己连办公电脑（1~2 台设备） | 放心用，真香 | 免费、比端口映射安全，把上面四个坑提前排掉 |
小团队试点（10 人以内） | 可以用，但先立规矩 | 控制台账号归谁管写清楚；离职当场删授权；设备数接近额度前先想好迁移方案 |
全公司长期生产（几十人起步，碰财务/客户数据，要过等保或审计） | 别拿 ZeroTier 当主线 | 看能备案、按账号管权限的国产商业方案，或自建 WireGuard 加国内云服务器；ZeroTier 留着当应急备用通道 |
一句话总结：规模越小，ZeroTier 越香；规模越大，它越是在考验"谁来担责"。 技术从来不是瓶颈，责任才是。
顺手提个醒：企业方案帖里软文不少
找方案的时候留个心眼。这次翻到的企业踩坑帖里，就有典型的软文——比如那篇流传挺广的"折腾两个月"，作者名和文末推荐的某款方案的公司名几乎对得上，全文踩了一圈工具，结论精准指向单一产品。知乎还有一些"TOP 排行榜"，把 ZeroTier 标注成"适合个人用户"，转头把一款国产商业产品评成"最务实的选择"，看着像测评，其实是广告位。知乎
分辨真实经验帖其实就看三点：有没有具体数据（多少人、多快、花多少钱）；结论是不是分条件的，而不是"只有我对"；评论区有没有真实用户在印证或反驳。
把软文剥掉之后，真实经验帖的共识其实高度一致：个人用和企业用的分界线，不在技术，在于出了问题谁来兜底。
最后留两个观察信号
如果你已经在给公司用 ZeroTier、跑得也稳，不用因为这篇文章连夜迁移。这篇是写给正在决定"要不要铺到全公司"的人的。
值得持续盯的，是 ZeroTier 新控制台后续的更新方向：控制台分裂成新旧两套之后，功能一直在调整，新版已经引入组织、网络组、网络三层管理架构。ZeroTier 官方文档哪天它把按身份管权限、审计日志这些补上，企业场景的结论可能要重写。在那之前，全公司铺开这事，先别冲动。
