ZeroTier op MikroTik: één virtueel netwerk, wereldwijd
ZeroTier op MikroTik opent de deur naar een nieuw tijdperk van netwerkbeheer: één virtueel netwerk dat naadloos (al) je MikroTik routers en switches met elkaar verbindt, ongeacht hun fysieke locatie. Dankzij de integratie van ZeroTier in RouterOS v7 kan je nu wereldwijd toestellen beheren alsof ze op één enkele switch zijn aangesloten zonder complexe VPN configuraties of port forwarding. In deze blogpost toon ik stap voor stap hoe je ZeroTier activeert op je MikroTik toestel, hoe je een virtueel netwerk opzet via de ZeroTier-portal, en hoe je verschillende locaties op een veilige en schaalbare manier met elkaar verbindt. Een must voor wie op zoek is naar eenvoud, flexibiliteit en controle over zijn gedistribueerd netwerk. De Mikrotik ZeroTier configuratie zal geen geheimen meer kennen na het lezen van deze blogpost.
Compatibele MikroTik routers die ZeroTier configuratie ondersteunen
Niet alle MikroTik apparaten ondersteunen ZeroTier, maar de lijst groeit. De belangrijkste vereiste is dat het toestel draait op RouterOS v7.1 of hoger én beschikt over een ondersteunde architectuur. ZeroTier op MikroTik vereist de volgende eigenschappen:
MikroTik routers en switches die ZeroTier kunnen draaien
ZeroTier op MikroTik is niet standaard geïnstalleerd
ZeroTier is vanaf RouterOS v7.2 beschikbaar op toestellen met een geschikte CPU-architectuur, maar het is géén standaardonderdeel. Je moet het handmatig installeren via de extra packages die je kan downloaden op de Mikrotik website. Of sinds recente versies van RouterOS v7 worden alle extra packages standaard meegeleverd in het systeem — je hoeft ze dus niet meer apart te downloaden zoals vroeger. Wat wél nodig is: handmatig activeren van de gewenste modules, zoals zerotier, container enzovoort. De werkwijze zie je hieronder geïllustreerd. Mijn router is een RB5009 die ik hier bespreek.
Waarom ZeroTier een game changer is voor MikroTik
ZeroTier is meer dan alleen een VPN: het is een peer-to-peer virtual network hypervisor, ontworpen om netwerkinterfaces en -structuren over het internet te simuleren alsof ze lokaal zijn verbonden. Je kan dit zien als dat de toestellen allemaal op één switch zijn verbonden, ook al zitten deze ver verwijderd van elkaar. Laten we wat dieper graven waarom ZeroTier op MikroTik een veilige techniek is om een layer2 verbinding te verwezenlijken.
Hoe werkt ZeroTier technisch?
ZeroTier is meer dan alleen een VPN: het is een peer-to-peer virtual network hypervisor, ontworpen om netwerkinterfaces en structuren over het internet te simuleren alsof ze lokaal zijn verbonden. Belangrijkste technische eigenschappen zijn:
1-Layer 2 virtualisatie over IP
ZeroTier creëert een virtuele Ethernet-bus, waarop alle deelnemers (nodes) zijn aangesloten. Net alsof ze op één fysieke switch zitten, zelfs al bevinden ze zich wereldwijd verspreid. Dit maakt het mogelijk om:
2- End-to-end encryptie (AES-256-GCM)
Elke sessie is versleuteld via een unieke sleutel die via Curve25519 (Elliptic Curve Diffie-Hellman) wordt uitgewisseld. De controllers (zoals my.zerotier.com) kennen de inhoud van het verkeer niet, enkel de verbindingstopologie.
3- Peer-to-peer NAT traversal
Dankzij STUN en hole punching probeert ZeroTier directe verbindingen tot stand te brengen. Indien dat niet lukt, wordt automatisch fallback gebruikt via een relay (planetary root).
4- Multihoming en multipath
Een node (bijv. je MikroTik-router) kan meerdere actieve paden tegelijk gebruiken om andere peers te bereiken. Dit biedt hogere beschikbaarheid en beter verkeerbeheer (load balancing mogelijk).
5- Virtuele MAC-adressen
Elke node krijgt een virtueel MAC-adres (bijv.Zt0) toegewezen. Je kan dus eenvoudig een ZeroTier-interface toevoegen in MikroTik met VLAN's, bridges of firewallregels — alsof het een fysieke poort is.
6- Decentrale topologie via controller
De ZeroTier Controller (cloud of self-hosted) beheert wie tot welk virtueel netwerk behoort. Elke node verifieert zich met zijn Node ID en public key.
Je kan toestellen automatisch accepteren, of manueel via een whitelist.
Mikrotik ZeroTier configuratie tegenover andere vormen van VPN
Gratis ZeroTier account aanmaken
Voordat je kunt genieten van de krachtige mogelijkheden die ZeroTier biedt, moet je eerst een account aanmaken via de officiële website: zerotier.com. Het aanmaken van een account verloopt eenvoudig in enkele stappen:
Na bevestiging krijg je toegang tot het ZeroTier Central Portal, waar je jouw eigen virtuele netwerken kunt aanmaken en beheren. Dit is de centrale plek waar je de ZeroTier-netwerken aanmaakt waaraan je MikroTik-routers of andere toestellen koppelt.
Een ZeroTier netwerk aanmaken
Zodra je bent ingelogd op het ZeroTier Central Portal, is het aanmaken van een netwerk bijzonder eenvoudig.
Klik op de knop "Create Network". Er wordt automatisch een nieuw netwerk gegenereerd, inclusief een uniek netwerk-ID.
Zoals je merkt, vereist de MikroTik ZeroTier configuratie geen technische voorkennis. ZeroTier maakt het proces bijzonder gebruiksvriendelijk, zodat je in enkele seconden een virtuele netwerkstructuur kunt opzetten.
Netwerkinstellingen aanpassen in ZeroTier Central
Zoals je op de bovenstaande screenshot kunt zien, biedt ZeroTier je de mogelijkheid om enkele essentiële netwerkinstellingen te wijzigen:
Naam aanpassen (1)
Standaard genereert ZeroTier automatisch een netwerknaam. Hoewel je deze naam naar wens kunt aanpassen, is dit niet verplicht. Het is puur bedoeld voor herkenbaarheid in het portal.Access Control instellen (2)
Dit is een kritieke stap.
Ik kies altijd voor de optie Private, zodat enkel toestellen die ik zelf expliciet goedkeur verbinding kunnen maken met het netwerk.
Dit verhoogt de veiligheid, voorkomt ongewenste toegang en geeft je volledige controle over wie toetreedt tot jouw virtuele netwerk.Network ID kopiëren
Zodra alles is ingesteld, kopieer je het Network ID. Dit is de unieke identifier die je straks nodig hebt om je MikroTik router of -switch aan dit netwerk te koppelen.
Nog geen verbonden apparaten? Geen paniek!
Wanneer je verder naar beneden scrolt in het netwerkbeheerportaal van ZeroTier, verschijnt de melding: "No devices have joined this network."
Dit is volkomen normaal: op dit moment is er immers nog geen enkel toestel gekoppeld aan het netwerk. De MikroTik router moet nog geconfigureerd worden.
In het volgende gedeelte illustreer ik stap voor stap hoe je de configuratie op de MikroTik router uitvoert. Daarbij gebruik ik enkele duidelijke screenshots om de interface toe te lichten. Op deze manier wordt de ZeroTier op Mikrotik configuratie duidelijk. Voor wie graag visueel leert: de volledige configuratie wordt ook getoond in mijn video tutorial, waarin ik je begeleid van start tot finish.
Mikrotik ZeroTier configuratie op de Mikrotik zelf
Zodra je Winbox opent en inlogt op een MikroTik router met RouterOS v7.11.2 in mijn geval, zie je in het linker menu de knop “ZeroTier” verschijnen. Dit bevestigt dat het extra pakket succesvol is geïnstalleerd of al aanwezig is in de standaardinstallatie. Zie je de knop nog niet? Controleer dan of je ZeroTier is ingeschakeld via System Packages.
Na het klikken op “ZeroTier” in het Winbox menu, opent zich het configuratievenster met drie tabbladen. We starten in het eerste tabblad, eveneens genaamd “ZeroTier”. Je zit een duidelijke screenshot hierboven.
Allow Managed zorgt ervoor dat ZeroTier automatisch IP-adressen en routes kan toewijzen aan je MikroTik router. Het netwerkverkeer wordt hierdoor correct geconfigureerd zonder manuele tussenkomst.
Uitleg bij de ZeroTier opties in MikroTik
Allow Managed:
Deze optie zorgt ervoor dat ZeroTier automatisch IP-adressen, routes en andere netwerkparameters toewijst aan je MikroTik-router.
Aanbevolen in de meeste situaties, je hoeft dan geen handmatige routes of adressen toe te voegen.
Allow Global:
Deze instelling staat toe dat verkeer naar publieke IP-adressen (internet) via ZeroTier wordt gerouteerd als je dit in het ZeroTier Central Network hebt ingesteld. Let op: Dit is vergelijkbaar met een “VPN default gateway” en kan al je verkeer omleiden via ZeroTier.
Enkel inschakelen als je dat expliciet wil.
Allow Default:
Dit activeert de Default Route (0.0.0.0/0) indien deze via het ZeroTier-netwerk wordt aangeboden.
Deze optie gebruik je alleen als je wilt dat al het verkeer inclusief internetverkeer via een andere ZeroTier-node loopt.
ZeroTier instellen: de Instance inschakelen
In het tabblad “Instance” zie je dat er al automatisch een instantie is aangemaakt. Je hoeft deze niet zelf toe te voegen — enkel activeren. Selecteer de instance en klik op “Enable”. Na een paar seconden is ZeroTier actief op je MikroTik router. De router maakt nu automatisch verbinding met het ZeroTier-netwerk via de opgegeven Network ID.
De router autoriseren in ZeroTier Centra
Nu keer je terug naar de ZeroTier-website via my.zerotier.com om je MikroTik-router officieel toe te voegen aan je netwerk.
Zoals de bovenstaande screenshot laat zien is de MikroTik ZeroTier configuratie geslaagd maar niet af.
Scroll naar beneden en je zult onder “Members” een nieuwe regel zien verschijnen met een lange Node ID (bijv. 3a9f2e...). Daarboven zie je de melding:
“This member has not yet been authorized to join the network.” Dit betekent dat je router herkend wordt door het ZeroTier netwerk, maar nog geen toestemming heeft om effectief verbinding te maken. Vink het vakje "Auth" aan naast de router dit is de toestemming die nodig is om hem toe te voegen aan het virtuele netwerk. Zodra je dit hebt gedaan, zal je MikroTik router automatisch verbinding maken en een IP-adres ontvangen binnen het opgegeven subnet.
MikroTik Firewallregel voor ZeroTier verkeer
Om te voorkomen dat inkomend verkeer via de ZeroTier interface wordt geblokkeerd, is het belangrijk om een specifieke firewallregel toe te voegen aan de input chain van je MikroTik-router.
Wat doet deze regel?
Deze staat alle inkomende verbindingen op de zerotier1 interface toe zodat beheer op afstand, ping, Winbox of andere protocollen vanuit je ZeroTier-netwerk correct functioneren. Zie de onderstaande screenshots van de firewall regel.
Mijn aanbeveling:
Plaats deze regel vlak onder de bovenste fasttrack-regel, zodat het verkeer correct wordt geëvalueerd vóór algemene drop-rules van kracht worden. Meer weten? Voor een volledige uitleg over firewallbeheer verwijs ik naar mijn aparte blogpost: Mikrotik firewall filter rules leren begrijpen
Hierin leg ik in detail uit hoe de firewall op RouterOS werkt, inclusief logging, accept, drop, interfaces en zones.
Besluit
Met de integratie van ZeroTier in RouterOS v7 heeft MikroTik een krachtige nieuwe tool toegevoegd voor wie meerdere netwerken wil beheren zonder complexe VPN configuraties, publieke IP-adressen of statische routes.
Zoals je in dit praktijkvoorbeeld hebt gezien, kan je:
Voor netwerkbeheerders, homelab gebruikers, gamers en zelfs kleinere bedrijven is ZeroTier op MikroTik een revolutionaire aanvulling.
Of het nu gaat om NAS toegang op afstand, remote beheer, VLAN bridging of volledige site-to-site verbindingen ZeroTier doet wat het belooft.
Hierboven op krijg je een duidelijke video die ik heb gemaakt hoe je de MikroTik ZeroTier configuratie kan aanpakken.
Blijf op de hoogte van mijn nieuwe video tutorials
