EasyTier实战：去中心化异地组网与虚拟局域网搭建指南

我最近把家里 NAS、办公室台式机和一台常年开着的云主机用 EasyTier 拉进了同一个虚拟局域网。以前想从外面拿家里文件，要么开端口映射，要么依赖某台固定服务器转发，心里总是没底。EasyTier 是一个强调去中心化的异地组网工具，它没有固定主节点，设备之间能直连就直连，不能直连再由中转节点帮忙，配置起来比我想象中简单。这篇文章不是官方文档，是我从踩坑到跑通全过程的完整使用记录，包括为什么放弃老方案、怎么部署、怎么排查问题，适合正在折腾异地组网、想给多台设备做内网互通的人参考。

1. 为什么选EasyTier：去中心化异地组网的选型思考

1.1 传统思路为什么越组越累

先说说我经历过的旧方案。第一种是端口映射。大多数家用宽带没有公网 IPv4，即使路由器支持 DMZ，运营商分配的也是一个大内网地址，端口映射只能作用在自己的小路由器上，外人根本访问不到。即便你真拿到公网 IP，把 SSH、文件服务一个个暴露出去，防火墙规则会越堆越乱，任何一款服务有漏洞，整台设备都暴露在公网扫描之下。我最初就是这么折腾的，最后连自己都分不清哪个端口对应哪个服务，每次调整都要重新梳理一遍规则。

后来我转向了中心化组网思路：找一台有公网 IP 的服务器，所有设备都主动连它，由它来做转发。这种方式确实稳定，但瓶颈也很明显。总带宽受限于服务器，延迟要多跳一次，而且这台服务器一旦停机，所有设备之间就彻底失联。尤其像我这种只租了低价云主机的人，带宽也就几 Mbps，传大文件根本跑不动，更别说多台设备同时互访了。

我要的其实是另一种状态：设备与设备之间优先直连，只有直连失败才找服务器帮忙；没有哪个节点是离了就不行的。在这个背景下，我开始认真看“去中心化异地组网”这个方向，最后把重点落在 EasyTier 上。它给我的第一印象是，这不是在搭一个中心服务，而是把设备织成一张网。

1.2 EasyTier的核心机制：去中心化和P2P直连

EasyTier 的基本工作方式可以这样理解：你在一台设备上运行 easytier-core，它会创建一块虚拟网卡，并把这台设备变成一个虚拟网络上的节点。多个节点通过同一个网络名称和网络密钥聚到一张网里，节点之间会周期性交换路由信息，尝试用 P2P 打洞建立直接连接；如果打洞失败，再走一个可用的中继节点。节点之间不仅可以直连，还可以帮其他节点转发流量，也就是说每个节点既是客户端，也可能承担路由功能。

它并不是完全不要服务器，而是把服务器角色弱化成了“通讯录”。协调节点只帮你找到对方，数据不一定要经过它。这就是去中心化的意义：任何单个节点离线，其他节点仍可以通过别的路径互联。打个比方，传统方式像所有快递都去县城分拣中心转一圈，EasyTier 则像每个村的驿站之间先尝试直达，不行再就近中转。只要路径不是唯一的，网络就不会被某个点卡死。

我实际使用下来，这种设计的最大好处是抗故障能力强。云主机临时重启，已经建立好的直连隧道不会断；就算断了，节点之间也会重新协商，而不是集体掉线。

1.3 哪些场景适合，哪些别硬上

以我的使用经验，它特别适合三类场景。第一类是远程访问家里的 NAS、摄像头、监控这类轻量服务，流量不大，延迟不敏感；第二类是把多台云主机和本地电脑放到同一张网里，方便直接走内网 IP 连 SSH，不用把端口一个个暴露到公网；第三类是临时给外部设备开一个入口，比如出差时把笔记本加入虚拟网，直接访问办公室内网资源。

不太适合的场景也有。它本质上是“尽力而为”的组网，走中继时延迟和吞吐都取决于中继节点，不适合追求极致性能的实时应用，比如游戏串流或大文件实时同步。如果两个节点都在非常严格的对称 NAT 后面，打洞基本没戏，必须有稳定中继。另外，公共协调节点毕竟不是私有基础设施，对隐私要求特别高的环境，最好自建中继而不是依赖公共节点。

2. 部署前必须搞懂的几个概念

2.1 节点、虚拟IP和虚拟网卡到底怎么理解

刚开始接触时，我总把节点和服务器混在一起。在 EasyTier 里，任何一台运行了 easytier-core 的设备都是一个节点，不管它有没有公网 IP。每个节点启动后，系统里会多出一块虚拟网卡，并分配一个虚拟IP，比如 10.144.0.11。这个虚拟IP不是物理网卡的IP，只有虚拟网内的其他节点才能直接访问。

可以把它理解成：每个节点都往虚拟网络里插了一根网线，这根网线的另一端连着一个虚拟交换机。数据包从虚拟网卡出来，由 easytier-core 封装进正常的 UDP/TCP 包，再通过物理网络发到目标节点，目标节点解包后放进自己的虚拟网卡。对上层应用来说，感觉就是两台机器被一根看不见的网线连起来， IP 变了，其他行为和在局域网里几乎一样。

这里有个容易踩的坑：虚拟网段最好不要和现有物理局域网段冲突。如果家里路由器用的是 192.168.1.0/24，虚拟网段就别再用 192.168.1.0/24，否则路由表会打架。我习惯用 10.144.0.0/24 这类私网段，和家庭、办公室常见的 192.168 网段错开。

2.2 TUN模式和TAP模式的区别

EasyTier 支持虚拟网卡的不同工作模式，一般会看到 TUN 和 TAP 两种。TUN 工作在三层，只处理 IP 包，适合 IP 访问、端口访问这些常见需求；TAP 工作在二层，会把整个以太网帧都封装进去，能看到广播包，但开销更大，也更容易出现驱动兼容性问题。

我的建议是：绝大多数情况下用 TUN 就够了。不管是访问 NAS、连 SSH、访问服务端口，TUN 模式都能覆盖。只有在需要使用广播、ARP 嗅探这类特殊协议时才考虑 TAP。我在 Windows 上测试过 TAP，驱动偶尔会不稳定，虚拟网卡重启后要等一会儿才能恢复，所以后续都固定用 TUN。

另外，TUN 模式需要在系统里安装并启动虚拟网卡驱动，Linux 下一般需要 root 权限，Windows 下需要管理员权限。第一次启动如果系统弹出安装驱动提示，选择允许就好。如果被安全软件拦截，需要先临时放开网络防护。

2.3 配置文件选型：YAML和命令行参数

easytier-core 既支持命令行参数，也支持指定配置文件。命令行适合临时验证，节点一多建议用配置文件，因为每个节点只是少数几行参数不同，写成文件后清晰、可保存、重启能复现。我习惯用 YAML 格式，把网络名称、密钥、虚拟IP、监听端口、对端地址全部显式写出来。

重点说一下网络密钥 network_secret。它是整张虚拟网络的钥匙，节点加入时会校验密钥，一致才放行；数据流在传输过程中也使用基于它的密钥进行加密。换句话说，如果有人知道了 network_secret，他就能加入你的虚拟网，看到虚拟网内通信。所以别用太弱的密码，也别把它写在会被抓屏的聊天窗口里。

还有管理接口 rpc_portal，这个接口是给 easytier-cli 这类管理工具用的。我通常只让它监听在 127.0.0.1，绝不暴露公网。否则别人如果知道管理端口，可能直接操作你的节点。

3. 从零跑通一个三节点组网

3.1 先想清楚拓扑和虚拟IP

我建议第一次搭建时先画一张拓扑表，再动手。我实际用的拓扑如下：

云主机在这里有两个作用：作为大家都认识的公网入口，帮助其他节点完成初始发现；同时也可以作为中继节点，在直连失败时转发流量。但它不是一个必需的主节点。家里 NAS 打开子网代理后，可以让整个虚拟网访问 192.168.31.0/24 上的物理设备；办公室电脑作为普通客户端加入。

虚拟IP最好固定，不要依赖自动分配。节点多了以后，固定IP方便写路由和防火墙规则。三台设备我都用了 10.144.0.0/24 网段，按角色分配尾号，记忆成本很低。

3.2 安装二进制和验证

EasyTier 各个平台都有预编译二进制包。去 release 页面下载对应平台的压缩包，Linux 解压后得到 easytier-core 和 easytier-cli 两个文件，放进 /usr/local/bin/ 即可。Windows 同理，把 exe 放到固定目录，后面配开机自启会用到。

# Linux 下解压并安装到 /usr/local/bin（文件名以实际下载为准） tar -xzf easytier-linux-x86_64.tar.gz sudo mv easytier-core easytier-cli /usr/local/bin/ which easytier-core

Windows 下建议用管理员权限打开 CMD 或 PowerShell，先运行 easytier-core --help 确认驱动初始化正常。如果系统提示是否安装虚拟网卡驱动，选择允许。我第一次在 Windows 上就是没注意权限，双击运行直接报错，后来才发现必须以管理员身份运行。

3.3 编写配置文件并启动

三台节点的配置主体结构相同，只有 instance_name、ipv4、peers 有差异。云主机因为要承担公网入口和中继角色，listeners 里同时监听 TCP 和 UDP 11010 端口，方便不同 NAT 类型的设备连接。

# 云主机配置文件 cloud.yaml instance_name: cloud network_name: mylab network_secret: "REPLACE_WITH_A_LONG_RANDOM_STRING" ipv4: 10.144.0.10 listeners: - tcp://0.0.0.0:11010 - udp://0.0.0.0:11010 rpc_portal: 127.0.0.1:15888

家里 NAS 这台节点，除了加入网络，还要把物理局域网共享出来，所以在配置里加了一条 proxy_networks，把 192.168.31.0/24 整体代理到虚拟网。它主动连接的 peers 指向云主机。

# 家里NAS配置文件 home.yaml instance_name: home-nas network_name: mylab network_secret: "REPLACE_WITH_A_LONG_RANDOM_STRING" ipv4: 10.144.0.11 listeners: - udp://0.0.0.0:11010 peers: - tcp://your-cloud-host.com:11010 proxy_networks: - 192.168.31.0/24 rpc_portal: 127.0.0.1:15888

办公室电脑配置最简单，不需要代理网段，只加入虚拟网并指向云主机。

# 办公室电脑配置文件 office.yaml instance_name: office-pc network_name: mylab network_secret: "REPLACE_WITH_A_LONG_RANDOM_STRING" ipv4: 10.144.0.12 listeners: - udp://0.0.0.0:11010 peers: - tcp://your-cloud-host.com:11010 rpc_portal: 127.0.0.1:15888

启动命令分别是：

sudo easytier-core -c cloud.yaml sudo easytier-core -c home.yaml easytier-core -c office.yaml # Windows 需要用管理员 CMD

我建议的启动顺序是：先启动云主机，再启动其他节点。这样新节点一启动就能通过 peers 找到云主机，快速交换节点信息。如果顺序反了，设备之间会多等一段时间重新发现。

3.4 用 easytier-cli 检查联通性

等所有节点都启动后，用管理工具确认状态。我常用两条命令，一个是查看节点列表 easytier-cli node list，另一个是查看隧道和延迟 easytier-cli peer list。输出里能看到每个节点的虚拟IP、在线状态，以及当前隧道的 RTT 和路径类型。

如果命令提示连接被拒绝，先检查 easytier-core 进程是不是真的起来了，再确认 rpc_portal 是否监听在 127.0.0.1:15888。CLI 默认读取本机管理端口，不需要额外认证。我一开始把 rpc_portal 写成了 0.0.0.0:15888，结果既暴露了公网，又让 CLI 连不上，后来改成 127.0.0.1 才消停。

联通测试直接 ping 虚拟IP：

ping 10.144.0.10 # 测云主机 ping 10.144.0.11 # 测家里NAS ping 10.144.0.12 # 测办公室电脑

从办公室电脑 ping 10.144.0.11，如果延迟在几毫秒到十几毫秒，说明两边成功打洞，流量走了 P2P。如果延迟猛然跳到几十毫秒甚至一百多毫秒，大概率是走了云主机中转。后面会讲怎么进一步确认和优化。

4. 进阶玩法：子网代理与去中心化路由

4.1 把整段局域网也共享进虚拟网

默认情况下，只有安装了 easytier-core 的设备才能通过虚拟IP互相访问。家里 NAS 自身能被访问，但同一局域网下的打印机、路由器管理页、智能电视这类物理设备，虚拟网里其他节点还是够不到。这时就要用子网代理。

home.yaml 里的 proxy_networks 字段就是干这个的。它告诉整个虚拟网：192.168.31.0/24 这个网段可以由 home-nas 节点代为访问。虚拟网内其他节点访问这个网段时，数据会封装后发给 home-nas，NAS 再解封转发给物理局域网设备。对于办公室电脑来说，访问 192.168.31.100 就像访问本地邻居一样，完全不用感知底层隧道。

启用代理后要先做两个检查。一个是确认被代理的物理网段和虚拟网段不冲突；另一个是确认代理设备本身是可信的，因为一旦开了代理，虚拟网内所有节点都可能访问你家里的整个网段。如果家里有智能门锁之类敏感设备，建议不要加进被代理网段，或者单独拆一个虚拟网络出来。

测试子网代理是否成功，可以在办公室电脑上 ping 家里 NAS 的物理IP：

ping 192.168.31.100

通了说明代理生效。如果不同，问题多半出在 NAS 的系统路由上，需要确认 NAS 开启了 IP 转发。

4.2 多节点路由和去中心化的真实效果

三节点组网稳定后，可以做一个小实验来感受去中心化的意义：把云主机上的 easytier-core 进程停掉，然后观察办公室电脑和家里 NAS 之间是否还能互访。如果之前已经建立了 P2P 直连，那么这次停机不会造成任何影响；如果之前依赖云主机中转，连接会短暂中断，但只要还有其他可达路径，节点之间会自动重新协商路由。

我实际测过这样的场景：办公室电脑最初通过云主机认识家里 NAS，后来两边成功打洞。某天云主机因为内存不足被系统重启，整个过程里办公室电脑和家里 NAS 的 ping 没有掉过一个包。这就是去中心化路由带来的稳定性，链路不是写死的，而是在节点状态变化时动态收敛。

多节点冗余也有代价。节点越多，维护量越大，出现子网重叠、密钥不统一的风险也越高。所以我的建议是按需加节点，不要为了“去中心化”而把一堆设备塞进同一张网。两三个关键节点就能满足大部分场景。

4.3 需要注意的安全边界

子网代理带来便利的同时，也明显扩大了暴露面。虚拟网内的每一个节点都可能访问你代理出来的物理网段，所以不要随便把不信任的设备加进同一个 network_name。我建议把虚拟网络拆成多个：给家里自用的一个，给办公合作设备的一个，密钥分开，别图省事全塞一起。

rpc_portal 前面提过，只监听 127.0.0.1。如果发现节点所在机器 CPU 占用异常升高，先检查是否有人在虚拟网内进行扫描，再检查 rpc_portal 是否意外暴露到了公网。多节点组网里，一台机器被入侵可能影响整张网，所以承载虚拟网络的设备本身要有基本的安全基线，比如系统更新、防火墙、弱密码清理。

5. 常见问题与排查技巧实录

5.1 打洞失败、延迟高的排查

我遇到过的最典型问题是：虚拟IP能 ping 通，但延迟明显偏高。这时先用 easytier-cli peer list 看路径类型，确认到底是 p2p 还是 relay。如果是 relay，说明打洞失败或者还没有建立直连。可能的原因包括网络里有严格对称 NAT、UDP 被运营商限制、防火墙没有放行监听端口。

如果确认当前是 relay 且延迟不可接受，最好加一台距离双方都不远的云主机作为专用中继。默认公共协调节点虽然能用，但地理位置和带宽都不可控，延迟可能很高。我加了一台国内云主机做中继后，办公室到家里的延迟从 90ms 降到了 30ms 左右。

5.2 配置不生效、端口冲突与驱动问题

EasyTier 的配置文件不会热加载，每次修改后都必须重启进程。我踩过一次坑：修改了虚拟IP，但旧进程没完全退出，两个实例同时开着，端口被占用，新配置完全没生效。后来统一用 systemd 管理，重启时先 stop 再 start，就再没遇到这个问题。

如果在 Windows 上启动报错说不能创建虚拟网卡，多半是驱动被安全软件拦截，或者 TUN 驱动不兼容。Win10/11 上安装 wintun 驱动前，先把杀毒软件的网络防护临时关掉，装好后再打开。我第一次装的时候被拦截了几次，最后去驱动目录手动删了旧版本才成功。

端口占用也是常见问题。Linux 下可以用 lsof -i :11010 查看，Windows 用 netstat -ano | findstr 11010。如果端口被其他程序占用，修改配置里的监听端口即可，不要直接 kill 掉占用进程，避免破坏其他服务。

5.3 开机自启和进程守护

Linux 下别让 easytier-core 裸跑在 shell 里，最好写成 systemd 服务。我用的单元文件大致如下：

[Unit] Description=EasyTier Service After=network-online.target Wants=network-online.target [Service] ExecStart=/usr/local/bin/easytier-core -c /etc/easytier/home.yaml Restart=always RestartSec=5 [Install] WantedBy=multi-user.target

启动并设置开机自启：

sudo systemctl daemon-reload sudo systemctl enable --now easytier sudo systemctl status easytier

Windows 下可以用任务计划程序，触发器设为“计算机启动时”，操作指向 easytier-core.exe，并勾选“使用最高权限运行”。这一步很重要，否则虚拟网卡无法创建。我之前没勾选权限，重启后节点一直离线，看日志才定位到是权限不足。

5.4 版本升级和配置备份

EasyTier 迭代速度不算慢，升级前先把配置文件备份一份。我通常的顺序是：停服务、备份旧配置、替换二进制、执行 easytier-core --help 看一下参数是否有变动，然后再启动。如果新版配置格式不兼容，日志里会有明显提示，对照官方文档改字段即可。没必要追新，跑稳定的版本就继续用着。

如果节点很多，network_secret 要统一管理，建议放在密码管理器里。虚拟网的钥匙就是它，一旦泄露，整个虚拟网都不安全。更新密钥时需要同时改所有节点配置，所以我会固定一套密钥管理流程：先备好新密钥，再逐台更新配置并重启。这个过程要在低峰期做，否则节点间会有一段时间互相连不上。

我目前这套三节点已经稳定跑了两三周，唯一一次断线是家里宽带重启后 NAS 上的 easytier 没自动拉起来，后来补了 systemd 就没有再犯。回过头看，EasyTier 把去中心化异地组网的门槛降到了个人也能轻松驾驭的程度，关键是先让两台设备跑通，再加子网代理，最后再考虑高可用和性能优化。如果你正准备折腾，建议把 network_secret 设成随机长字符串，并且从云主机开始启动，后续节点加入都会简单很多。