【运维】OpenWrt 中禁用 ZeroTier IPv6 配置指南-Euler的博客

背景介绍

IPv6 地址的影响与挑战

在现代网络环境中，IPv6 的普及带来了更大的地址空间和更好的路由效率，但同时也引入了一些复杂性：

网络复杂性增加
- 双栈（IPv4/IPv6）环境增加了网络配置的复杂性
- 不同设备和应用对 IPv6 的支持程度不一致
- 可能导致连接性问题和路由冲突
安全考虑
- IPv6 地址泄露可能暴露网络拓扑信息
- 某些防火墙规则可能未正确配置 IPv6 过滤
- 隐私扩展地址可能带来管理困难
ZeroTier 环境中的特殊影响
- IPv6 自动配置可能与 ZeroTier 的虚拟网络冲突
- 在路由器环境中可能导致流量泄露
- 某些应用可能优先使用 IPv6，绕过预期的路由路径
OpenWrt 环境的考虑
- 资源受限的嵌入式设备处理 IPv6 可能影响性能
- 简化网络配置，减少故障排查复杂度
- 避免不必要的网络协议栈开销

因此，在特定场景下（如企业内网、实验环境或安全要求较高的网络），禁用 ZeroTier 的 IPv6 功能是一个合理的选择。

禁用方法详解

方法一：通过命令行配置

这是最直接的方法，适用于临时调试或快速配置：

# 1. 查看当前网络列表
zerotier-cli listnetworks

# 2. 对特定网络禁用相关功能（替换 <network_id> 为实际的网络ID）
zerotier-cli set <network_id> allowDefault=0
zerotier-cli set <network_id> allowDNS=0

# 3. 验证配置
zerotier-cli get <network_id> allowDefault
zerotier-cli get <network_id> allowDNS

**优点**：操作简单，立即生效
**缺点**：重启服务后可能需要重新配置

### 方法二：修改 ZeroTier 配置文件

这是推荐的方法，配置持久化，重启后仍然有效：

```bash
# 编辑 ZeroTier 配置文件
vi /etc/zerotier/local.conf

添加以下配置：

{
  "settings": {
    "primaryPort": 9993,
    "allowTcpFallbackRelay": true,
    "forceTcpRelay": false,
    "allowSecondaryPort": true,
    "secondaryPort": 0,
    "tertiaryPort": 0,
    "allowDefault": false,
    "allowDNS": false,
    "allowManaged": true,
    "allowGlobal": false,
    "allowV4": true,
    "allowV6": false
  }
}

关键参数说明：

"allowV6": false - 禁用 IPv6
"allowV4": true - 保持 IPv4 启用
"allowDefault": false - 禁止作为默认路由
"allowDNS": false - 禁止 DNS 重定向

方法三：UCI 系统配置（OpenWrt 特有）

这是 OpenWrt 系统的标准配置方法：

# 编辑 zerotier 配置
vi /etc/config/zerotier

配置内容：

config zerotier 'sample_config'
    option enabled '1'
    list join 'your_network_id_here'
    option nat '1'
    option masq '1'
    option ipv6 '0'          # 禁用 IPv6
    option fallback '1'

应用配置：

# 重启服务使配置生效
/etc/init.d/zerotier restart

# 检查服务状态
/etc/init.d/zerotier status

方法四：防火墙规则控制

通过 iptables 规则精确控制 IPv6 流量：

# 添加规则阻止 ZeroTier IPv6 流量
ip6tables -I FORWARD -i zt+ -j DROP
ip6tables -I INPUT -i zt+ -j DROP
ip6tables -I OUTPUT -o zt+ -j DROP

使规则永久生效：

# 编辑防火墙用户规则
vi /etc/firewall.user

添加内容：

# 禁用 ZeroTier IPv6 流量
ip6tables -I FORWARD -i zt+ -j DROP
ip6tables -I INPUT -i zt+ -j DROP  
ip6tables -I OUTPUT -o zt+ -j DROP

重启防火墙：

/etc/init.d/firewall restart

方法五：系统级 IPv6 禁用

如果需要完全禁用系统的 IPv6 支持：

# 编辑系统内核参数
vi /etc/sysctl.conf

添加：

# 全局禁用 IPv6
net.ipv6.conf.all.disable_ipv6=1
net.ipv6.conf.default.disable_ipv6=1
net.ipv6.conf.lo.disable_ipv6=1

应用配置：

sysctl -p

注意：此方法将影响整个系统的 IPv6 功能，请谨慎使用

配置验证

完成配置后，使用以下命令验证效果：

1. 检查 ZeroTier 状态

# 查看网络列表和状态
zerotier-cli listnetworks

# 查看详细信息
zerotier-cli info

2. 检查网络接口

# 查看 ZeroTier 接口（确认没有 IPv6 地址）
ip addr show zt+

# 或使用 ifconfig
ifconfig | grep -A 10 zt

3. 检查路由表

# 查看 IPv6 路由表（应该没有 ZeroTier 相关条目）
ip -6 route show

# 查看 IPv4 路由表
ip -4 route show

4. 网络连通性测试

# 测试 IPv4 连通性
ping -c 3 <zerotier_peer_ipv4>

# 确认 IPv6 不可达（应该失败）
ping6 -c 3 <zerotier_peer_ipv6> 2>/dev/null || echo "IPv6 已成功禁用"

故障排查

常见问题与解决方案

配置后仍有 IPv6 地址

# 检查是否有其他进程分配 IPv6 地址
ps aux | grep -E "(dhcpv6|radvd)"

# 手动删除 IPv6 地址
ip -6 addr flush dev zt+

重启后配置丢失

# 确认配置文件权限
ls -la /etc/zerotier/local.conf

# 检查 UCI 配置
uci show zerotier

服务启动失败

# 查看服务日志
logread | grep zerotier

# 手动启动调试
zerotier-one -D

总结

禁用 ZeroTier 的 IPv6 功能可以简化网络配置、提高安全性并避免潜在的连通性问题。在 OpenWrt 环境中，推荐使用配置文件方法或 UCI 配置方法，这样可以确保配置的持久性和系统的稳定性。

关键要点：

根据实际需求选择合适的禁用方法
配置后务必进行充分的验证测试
在生产环境中使用持久化配置方法
定期检查配置状态，确保设置有效

通过合理的 IPv6 管理，可以构建更加稳定和可控的 ZeroTier 虚拟网络环境。

目录CONTENT

【运维】OpenWrt 中禁用 ZeroTier IPv6 配置指南