如何限制/允许某个 ip 访问 zerotier 的另一个节点

[heqirong]

自己家里、父母家和公司都跑着 openwrt 的 zerotier ，在 zerotier 管理配置了路由表，相互可以访问内网设备；

怎么才能限制 /允许某个节点下的某个 ip 访问另一个节点

[Tink]

zerotier 下面不是能写路由表么，手动加一条就行了

[chenall]

rule 规则可以实现

[heqirong]

@Tink @chenall ok ，回头试试

[heqirong]

rule 规则好像只能限某个节点访问另一个节点，但是 openwrt 节点下的设备不能单独限制，如果在 openwrt 的防火墙下去限制某个设备通过 zerotier 的虚拟网卡，就会这个设备完全无法通过 zerotier ，不能达到限制这个设备访问特定结点的目的

[smallthing]

难道不是在特定节点上做路由来限制这个虚拟 IP 吗

[2i2Re2PLMaDnghL]

@heqirong 站点互访不要用 NAT 去做，ipsrc 和 ipdest 把两个站点的 prefix 给成对添加 drop

[heqirong]

@smallthing 那会限制这个 ip 访问全部节点，不能限制访问特定节点吧？

[heqirong]

@2i2Re2PLMaDnghL 所以每个站点都要运行 zerotier ，不能透过 openwrt 上 zerotier NAT 过去？

[2i2Re2PLMaDnghL]

@heqirong 请区分站点（ Site ）和单点（ Point ）
可以在 zerotier 上不用 NAT ，三个站点的网段不同，通过路由表互通，你要能从 A 站点内的一张网卡得知流量来源于 B 站点里的哪一张网卡，之后用 rule 或者路由器里写路由表都随意了。
或者 1:1 NAT 也行，不过我没搞过。