群晖装了 ZeroTier 做异地访问，连接状态一直异常组不了网，从哪一步开始排查？

直接给结论：ZeroTier 组不了网，多数卡在四件事之一——两端没加进同一个网络、加了没在控制台授权、UDP 出站被网络拦下、本机防火墙拦了虚拟网卡。按这个顺序排查，多数十分钟内见分晓。

第一步：先对上网络 ID 和授权

两端（公司 NAS 和外面的电脑）必须加入同一个网络 ID，一个字符错就等于进了两个互不相通的虚拟网。加对了还要到 ZeroTier 的管理控制台，在成员列表里把新设备勾选授权——不勾授权，客户端永远停在「请求加入」状态，分配不到虚拟 IP。NAS 端在套件里填好 ID 之后，如果状态一直是等待授权，就是控制台那一步没做。网络 ID 是一串 16 位字符，手工抄写容易错，建议从控制台页面直接复制粘贴；一台设备装过多次或加过多个网络时，客户端里会残留旧网络，列表里能看到，把不用的逐个退出，避免状态互相干扰。

第二步：看本机服务与通道

授权了还异常，回到客户端本机：

zerotier-cli info          # 看 SERVICE 是否 ONLINE
zerotier-cli peers         # 看有没有可达的根节点
zerotier-cli listnetworks  # 看 STATUS 是 OK 还是 ACCESS_DENIED

STATUS 显示 ACCESS_DENIED 就是授权没勾；服务 OFFLINE 是本机服务没起来；peers 里有 ONLINE 节点说明通道本身是通的，问题在别的环节。

第三步：查端口出站

公司防火墙、酒店和园区网络常拦 ZeroTier 依赖的 UDP 出站，表现是 peers 全是中继或干脆连不上根节点。快速验证法：换手机热点再连一次，热点下立刻正常，就是原网络在拦。对策是按顺序换端口、走转发通道，或在公司出口放行该端口——为一条虚拟网通道动出口策略前，先跟网络管理员打招呼。

第四步：本机防火墙与网卡

Windows 常把 ZeroTier 虚拟网卡归到「公用网络」，入站默认全拦——把该网卡的网络配置文件改成专用，或单独放行。装过多个虚拟网卡类软件（VPN 客户端、虚拟机网络）时，还会出现路由优先级打架，表现为虚拟 IP 能通但业务端口连不上。具体做法是网卡属性里把虚拟网卡的自动跃点改成手动、数值调到合适档位，让去往虚拟网段的流量优先走 ZeroTier 的口；改完用 route print 看一眼去往虚拟网段的路由落在哪个口上，落对了才算改到位。

两端各跑一遍上面的命令，STATUS 都是 OK、能互相 ping 通分配到的虚拟 IP，组网就算成了。剩下的「慢」是另一类问题——走了中继绕路，得再想办法打通直连，那是通道优化，不是组网故障。排查过程中把每一步的状态记下来：哪一步状态变了、变成什么，两轮下来规律就出来了；换网络环境测试时一次只动一个变量，结论才可靠。

贵州诚鑫致达科技做贵阳及周边企业的 NAS 远程访问方案这些年，ZeroTier 卡在授权和出站这两步的情况最常见，按顺序排查基本都能当场解决。

企业存储选型参考｜贵州诚鑫致达

做海量监控接入与长期归档，群晖机型参考：HD6500 · RS3621xs+ · DS2422+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。四川成都群晖存储部署、机房建设与数据安全集成服务。