最近半年，小红书、微博、知乎上一直有一类 ZeroTier 求助帖没断过：明明照着教程一步步做了，怎么就是连不上？发帖的人大多不是小白——客户端装了、账号注册了、网络建了、ID 也输了，结果要么一直卡在 Waiting，要么 ping 延迟永远 300ms 起步，要么之前用得好好的，某天突然就断了。我把这几个平台上的求助帖翻了一遍，又对照了官方文档和多篇实操教程，发现这些"连不上"绝大多数能归到五种假性故障上，十分钟基本都能自查明白，先别急着卸载重装。
先别乱调，看一眼状态
排查的第一步不是改配置，而是打开 cmd 或终端，敲一句 `zerotier-cli listnetworks`，看你那个网络对应的 STATUS。这个状态相当于医院的分诊单，直接告诉你病因在哪个方向。
显示 `OK`，说明网络层握手其实已经成了，问题大概率不在 ZeroTier 本身，而在应用层——远程桌面没开、防火墙拦截或者网段冲突，后面原因三细说。显示 `REQUESTING_CONFIGURATION`，是设备卡在"等待服务器下发配置"，多半是两种情况：你加入了但没人给你授权（原因一），或者一开始就进错了控制台（原因二）。显示 `ACCESS_DENIED` 就更直白了：网络找到了，但网络管理者明确拒绝了你，去把 Auth 勾上，或者联系建网的人。
顺手再打开网页控制台看一眼 Member Devices 列表，要是连设备的影子都没有，也别怀疑别的，十有八九是那 16 位 Network ID 输错了。
原因一：加入了，但没授权
有位迷上《幻兽帕鲁》的网友开内网联机，朋友们陆续都进来了，唯独一位好友加入网络时直接消失，一直卡在 Waiting 状态出不来。小红书这就是没授权最典型的表现：设备已经向网络发出了加入申请，但控制台里的 Auth 开关没人打开，于是它就一直等。
ZeroTier 的 join 只是"递交申请"，批不批准是建网的人说了算。一篇知乎实操教程里把这步写得很直白：设备 join 之后，网页端总设备数会变成 1，设备列表里也会出现这台设备，但已授权的设备数量仍然是 0，必须点一下"√Authorize"按钮对该设备进行授权。知乎所以遇到 REQUESTING_CONFIGURATION，第一件事就是登录网页控制台，在 Member Devices 里找到那台设备，把 Auth 勾上，客户端那边通常几秒内就会变成 OK。
原因二：新旧两套控制台，进错门就"设备消失"
8 月初还有人专门发《星露谷物语》联机教程吐槽这事：zerotier 软件更新了新界面之后，她试验了好几次都连不上，显示的都是连接失败，只好回头再出一个连旧版界面的教程。小红书听着离谱，其实原因不复杂。
ZeroTier 在 2025 年推出了新控制台 NewCentral，但旧控制台并没有下线，两个入口至今并存。一篇知乎组网教程里就把两个地址并排列了出来：旧控制台 Legacy Central 是 my.zerotier.com，新控制台 New Central 是 central.zerotier.com。知乎麻烦就在这儿：你的账号和网络如果是在旧控制台建的，转头登录新控制台，看到的就是一片空白——网络没丢，只是你走错了门。
自查方法很简单：看域名。my.zerotier.com 是旧版，central.zerotier.com 是新版；新控制台页面左下角一般会带 v2.x 的版本号。两边账号体系不互通，记不清自己注册在哪边的，就都登录试一次，看哪个能看到自己的网络。
原因三：状态 OK 却不通，三个最容易忽略的本机细节
这是最冤的一类：`listnetworks` 是 OK，虚拟 IP 也拿到了，但 ping 不通对方、远程桌面一直转圈。
第一个细节：Windows 默认把 ZeroTier 的虚拟网卡当成"公用网络"，而公用网络配置文件下防火墙默认拦截入站连接——你的设备出得去，对方进不来，表象就跟"连不上"一模一样。微博上就有人被这个坑折腾过：zerotier 被微软防火墙暗中拦截，怀疑单纯开放 9993 端口都不行。微博修复办法是以管理员身份运行 PowerShell，执行 `Set-NetConnectionProfile -InterfaceAlias “ZeroTier One” -NetworkCategory Private`，把这张虚拟网卡的网络配置文件改成"专用"，很多入站拦截就消失了。
第二个细节：被控的那台电脑，远程桌面本身没准备好。一篇联机教程里专门提醒过：电脑的远程桌面一定要打开，账户要切换为本地账户和密码，并且一定要设置密码，不然连接会失败。小红书再补两个高频坑：Windows 家庭版不支持被远程桌面连接；用微软账户且没设密码的，RDP 也会直接拒绝，需要本地账户加真实密码。
第三个细节：网段冲突。虚拟局域网选的网段如果和本地局域网一样（比如都是 192.168.1.x），路由直接就乱了。去控制台把网段改成冷门一些的（比如 10.37.x.x），让设备重新拿 managed IP 再试。
原因四：能连上，但慢得离谱——你在走中继
状态 OK、也能 ping 通，就是延迟高得离谱，这时候要分清：你到底是直连还是中继。年初有人发帖求助：zerotier 在 ping 的时候延迟一直在 300 左右，很明显走的是中继。小红书直接 ping 对方的 managed IP 就是最快的验证手段，知乎教程里也是这么干的：在 cmd 命令行中执行 ping 命令测试两个设备是否能够正常连接，把 MANAGED_IP 替换成控制台分配的虚拟 IP 即可。知乎
然后执行 `zerotier-cli peers`，找到对方那行：显示 DIRECT 加一个真实 IP 和端口，说明打洞成功，数据在两台设备之间直接跑；显示 RELAY，说明所有流量都在经 ZeroTier 官方中继服务器转发，延迟两三百毫秒属于正常水平，高峰期还会更飘。
打洞成不成功，主要看两端的 NAT 类型。那个求助帖评论区里最高频的一条诊断就是：检查两边的 NAT 类型，只要有一边是 nat1 就好。小红书说白了：只要有一端是全锥型 NAT（NAT1），打洞大概率能成；两端都是对称型 NAT，打洞基本失败，只能走中继。网上搜个 NAT 类型测试工具各自测一下，别上来就怀疑路由器坏了。
原因五：之前好好的，突然连不上了
这类求助帖最让人摸不着头脑：之前用 zerotier 连家里的服务器一直好好的，人去外地、切换网络之后，某天突然就死活连不上了。小红书之前能用，说明配置大概率没错，要找的是"变化"。
最常见的是本机环境变了。切换 WiFi、换手机热点，公网出口和 NAT 类型都变了，ZeroTier 要重新打洞，期间可能掉回中继甚至短暂断连；Windows 大版本更新偶尔会重置防火墙规则，之前调好的"专用网络"配置可能又变回公用。
第二类是平台侧事故。2025 年底 ZeroTier 的 apt 源更新就出过问题，有人当时记录：ZeroTier 更新 packagesource 时没有正确替换 InRelease 文件，结果 apt 直接装不上了。微博Linux 用户遇到突然装不上、更新报错，先去看看是不是源的问题，别急着怀疑自己的系统。
第三类最隐蔽：运营商在管你的流量。一位知乎用户实测自己是被山东联通误标成了 PCDN 用户：测速、云盘都没问题，ISP 专门 QOS 上传，P2P 这类流量被卡得死死的。知乎他从 9 月底开始反复投诉，折腾了约三个月才解除限速。如果测速正常、唯独 ZeroTier 这类 P2P 流量慢，可以打客服电话问一句是不是被误标了。
一份 10 分钟自查清单（以及什么时候该弃坑）
把上面的顺序固化下来，遇到"连不上"，按这个清单一条条走：
`zerotier-cli listnetworks` 看 STATUS，先分诊：OK、REQUESTING_CONFIGURATION 还是 ACCESS_DENIED；
是 OK 就 ping 对方的 managed IP。ping 通但应用连不上，查远程桌面、端口和防火墙配置文件；
REQUESTING_CONFIGURATION 就登录网页控制台，查 Auth 勾没勾，顺便确认自己进的是新版还是旧版；
ping 延迟 300ms 上下，用 `zerotier-cli peers` 确认是不是 RELAY，再测两端 NAT 类型；
突然断连的，先回忆有没有"变化"：换网、系统更新、客户端升级，再查平台事故和运营商限速。
最后说清楚什么时候该真的弃坑：两端都是对称型 NAT、跨运营商、家里宽带没有公网 IP，还想要传文件、看流媒体这种大带宽场景，ZeroTier 的中继体验基本救不回来。出路要么租台便宜的云服务器自建 Moon 或 Planet 节点，要么换打洞策略更激进的方案，迁移路线的成本账之前已经算过，这里不重复展开。
卡在某一步的，欢迎把 STATUS 和 peers 那两行贴到评论区，一般这两行信息就够把病因排掉大半。
