1. Introdução
Escolher o protocolo de rede privada virtual (VPN, Virtual Private Network) adequado pode fazer a diferença entre uma infraestrutura ágil e um gargalo operacional. Nos últimos anos, duas soluções ganharam destaque entre administradores de sistemas: ZeroTier e WireGuard.
ZeroTier é uma plataforma de rede definida por software (SDN, Software-Defined Networking) que cria redes virtuais de camada 2 e 3 sobre a internet, sem a necessidade de configurar manualmente servidores intermediários. WireGuard, por sua vez, é um protocolo VPN de código aberto integrado no kernel Linux desde a versão 5.6, reconhecido por sua simplicidade criptográfica e desempenho excepcional.
Ambas as soluções utilizam criptografia moderna, mas respondem a filosofias distintas: ZeroTier prioriza a facilidade de implantação e a gestão centralizada, enquanto WireGuard aposta na eficiência e no controle total sobre a infraestrutura. Para ambientes com roteadores industriais como os da Teltonika Networks — amplamente usados em IoT (Internet of Things) e conectividade remota —, a escolha correta depende do caso de uso, do nível de controle requerido e dos recursos disponíveis.
Este artigo oferece uma comparação técnica estruturada e um guia prático em 10 passos para implantar ZeroTier em um roteador Teltonika e um cliente Windows.
2. Tabela Comparativa
Semelhanças
| # | Característica | Descrição |
|---|---|---|
| 1 | Criptografia moderna | Ambos utilizam Curve25519 para a troca de chaves e ChaCha20-Poly1305 para a criptografia simétrica, garantindo confidencialidade e integridade sem depender de algoritmos obsoletos como RSA ou AES-CBC. |
| 2 | Código aberto | Os dois projetos publicam seu código-fonte sob licenças abertas (BSL 1.1 no ZeroTier, GPLv2 no WireGuard), o que permite auditorias independentes e adaptações personalizadas. |
| 3 | Baixo consumo de recursos | Comparados com soluções tradicionais como OpenVPN ou IPsec, ambos os protocolos têm uma pegada de memória e CPU significativamente menor, sendo viáveis em dispositivos embarcados. |
| 4 | Suporte multiplataforma | Existem clientes oficiais para Linux, Windows, macOS, Android e iOS em ambas as soluções, facilitando implantações heterogêneas. |
| 5 | Comunicação peer-to-peer (P2P) | Ambos tentam estabelecer conexões diretas entre os nós quando possível, reduzindo a latência ao evitar saltos desnecessários por servidores intermediários. |
Diferenças
| # | Característica | ZeroTier | WireGuard |
|---|---|---|---|
| 1 | Modelo de rede | Cria redes virtuais de camada 2 (Ethernet virtual), permitindo broadcast e multicast entre nós. | Opera na camada 3 (IP), sem suporte nativo para broadcast; cada par requer configuração explícita de rotas. |
| 2 | Gestão da infraestrutura | Plano de controle centralizado na nuvem do ZeroTier (ou auto-hospedado com ZeroTier Central). Não exige servidor próprio para funcionar. | Requer gerenciar manualmente os servidores de relay (ou usar soluções como Tailscale/Headscale). Controle total, mas maior complexidade operativa. |
| 3 | Configuração inicial | Alta abstração: criar uma rede, instalar o cliente e ingressar com um ID de 16 caracteres. Tempo estimado: 5-10 minutos. | Configuração manual de chaves públicas/privadas, interfaces e rotas em cada nó. Tempo estimado: 20-40 minutos por nó. |
| 4 | Performance em throughput | Introduz overhead adicional por sua camada de virtualização Ethernet; desempenho típico de 300-600 Mbps em hardware moderno. | Performance próxima ao limite do hardware graças à sua implementação no kernel; pode superar 1 Gbps em servidores convencionais. |
| 5 | Escalabilidade | Projetado para redes com centenas ou milhares de nós geridos a partir de uma interface web centralizada. | Escala tecnicamente bem, mas a gestão manual de pares (peers) torna-se complexa a partir de dezenas de nós sem ferramentas adicionais. |
3. Cenários de Uso Recomendados
Quando escolher ZeroTier?
Cenário 1 – Conectividade IoT distribuída. Empresas com frotas de dispositivos remotos, como Teltonika Networks em suas próprias demonstrações de casos de uso, implantam ZeroTier em roteadores RUT para conectar PLCs (Programmable Logic Controllers) e sensores industriais a uma rede central sem abrir portas em firewalls corporativos. A gestão centralizada a partir do ZeroTier Central permite adicionar ou revogar dispositivos em segundos.
Cenário 2 – Equipes de desenvolvimento distribuídas. Startups e equipes remotas utilizam ZeroTier para criar ambientes de desenvolvimento compartilhados onde cada desenvolvedor acessa servidores internos como se estivesse na mesma LAN (Local Area Network). Projetos como Defined Networking documentam esse padrão para equipes de até 50 pessoas sem infraestrutura VPN dedicada.
Cenário 3 – Redes de jogos e comunidades P2P. A comunidade de emulação e jogos retrô usa ZeroTier para criar redes LAN virtuais que permitem jogar títulos que suportam apenas multijogador local. Projetos como ZeroTier Gaming aproveitam a camada 2 virtual para emular broadcasts de rede local.
Quando escolher WireGuard?
Cenário 1 – Acesso remoto corporativo de alto desempenho. Organizações que exigem VPN site a site com throughput elevado, como provedores de serviços gerenciados (MSP, Managed Service Providers), implementam WireGuard em servidores Linux para conectar filiais com larguras de banda de 500 Mbps ou mais. Mullvad VPN migrou toda sua infraestrutura para WireGuard por esse motivo.
Cenário 2 – Infraestrutura cloud privada. Plataformas como Hetzner Cloud e DigitalOcean documentam o uso do WireGuard para criar redes privadas entre instâncias de servidores, substituindo soluções mais pesadas como o OpenVPN com uma configuração de menos de 20 linhas por nó.
Cenário 3 – Dispositivos com recursos muito limitados. Em roteadores com menos de 64 MB de RAM, o WireGuard — disponível como pacote kmod-wireguard no OpenWrt — oferece criptografia VPN com um consumo de CPU até 3 vezes menor que o OpenVPN, sendo a opção preferida em hardware embarcado de baixa gama.
4. Guia Passo a Passo: ZeroTier em Teltonika + Windows
Requisitos prévios: Roteador Teltonika série RUT (RUT240, RUT955, RUTX11 ou similar) com firmware RutOS 7.x, acesso SSH (Secure Shell) ao roteador, e um PC com Windows 10/11.
Passo 1 – Criar uma conta no ZeroTier Central
Acesse my.zerotier.com e cadastre-se com seu e-mail. Confirme o e-mail de verificação antes de continuar.
Configuração mínima: conta ativa com e-mail verificado. Erro comum: usar e-mail corporativo com filtros antispam que bloqueiem o e-mail de verificação; verifique a pasta de spam.
Passo 2 – Criar uma rede ZeroTier
No painel do ZeroTier Central, clique em “Create A Network”. Será automaticamente gerado um Network ID de 16 caracteres hexadecimais (exemplo: a09acf023364f9c2). Anote esse ID; você precisará dele em todos os passos seguintes.
Configuração mínima: Network ID gerado; faixa de IP privado atribuída automaticamente (por padrão na faixa 10.147.x.x/24). Erro comum: confundir o Network ID com o Node ID do dispositivo; são identificadores diferentes.
Passo 3 – Configurar a faixa de rede e modo de acesso
Na seção “Settings” de sua rede, defina o modo de acesso como “Private” (os novos nós devem ser aprovados manualmente). Em “Managed Routes”, verifique se a faixa IPv4 atribuída não colide com sua LAN local (por exemplo, se sua LAN usa 192.168.1.0/24, o ZeroTier deve usar uma faixa diferente).
Configuração mínima: modo Private ativado, faixa de IP sem colisões. Erro comum: deixar o modo em “Public”, permitindo que qualquer pessoa com o Network ID participe sem aprovação.
Passo 4 – Instalar o cliente ZeroTier no Windows
Baixe o instalador a partir da página oficial de downloads do ZeroTier. Execute o instalador .msi com privilégios de administrador. Ao finalizar, o ícone do ZeroTier aparecerá na bandeja do sistema.
Configuração mínima: instalação concluída, serviço ZeroTierOneService em execução (verificável em services.msc). Erro comum: o antivírus bloqueia a criação do adaptador de rede virtual TAP; adicione uma exceção para o diretório C:\ProgramData\ZeroTier\One.
Passo 5 – Conectar o cliente Windows à rede
Clique com o botão direito no ícone do ZeroTier na bandeja do sistema → “Join Network” → insira o Network ID do Passo 2 → “Join”. O nó aparecerá como pendente no ZeroTier Central.
Configuração mínima: Network ID inserido corretamente (16 caracteres). Erro comum: inserir espaços acidentais ao colar o Network ID; o cliente não mostrará erro, mas a conexão falhará silenciosamente.
Passo 6 – Aprovar o nó Windows no ZeroTier Central
No ZeroTier Central, vá para a seção “Members” da sua rede. Localize o novo nó (identificado pelo seu Node ID e pela descrição do sistema operacional) e ative a caixa de seleção “Auth” para autorizá-lo. Opcionalmente, atribua um IP fixo dentro da faixa gerenciada.
Configuração mínima: caixa “Auth” ativada. Erro comum: esquecer de aprovar o nó e assumir que a conexão falhará por outro motivo; sempre verifique o estado “Auth” primeiro.
Passo 7 – Instalar o ZeroTier no router Teltonika
Acesse o router via SSH: ssh root@192.168.1.1. Execute os seguintes comandos para instalar o pacote ZeroTier disponível nos repositórios do RutOS:
opkg update
opkg install zerotier
Verifique a instalação com zerotier-one --version. Consulte a documentação oficial da Teltonika para ZeroTier para variantes específicas de firmware.
Configuração mínima: pacote instalado, versão confirmada. Erro comum: executar opkg install sem fazer o opkg update primeiro, o que pode instalar uma versão desatualizada ou gerar erros de dependências.
Passo 8 – Conectar o router Teltonika à rede ZeroTier
No router, execute:
zerotier-one -d
zerotier-cli join a09acf023364f9c2
Substitua a09acf023364f9c2 pelo seu Network ID real. Verifique o status com:
zerotier-cli status
zerotier-cli listnetworks
O status deve mostrar OK e a rede em estado ACCESS_DENIED até ser aprovada.
Configuração mínima: daemon em execução, comando join executado com o Network ID correto. Erro comum: o firewall do RutOS bloqueia a porta UDP 9993 (porta padrão do ZeroTier); verifique as regras em Network → Firewall → Traffic Rules.
Passo 9 – Aprovar o nó Teltonika e configurar rotas
No ZeroTier Central, aprove o nó do router Teltonika da mesma forma que no Passo 6. Adicionalmente, em “Managed Routes”, adicione uma rota estática para que os demais nós da rede ZeroTier possam acessar a LAN do router:
- Destination:
192.168.1.0/24(sua LAN local do Teltonika) - Via: IP ZeroTier atribuído ao router (exemplo:
10.147.20.5)
Configuração mínima: nó aprovado, rota estática configurada. Erro comum: não adicionar a rota estática e assumir que o acesso à LAN do router funcionará automaticamente; o ZeroTier não roteia sub-redes locais sem configuração explícita.
Passo 10 – Verificar a conectividade ponta a ponta
Do cliente Windows, abra um terminal (cmd ou PowerShell) e execute:
ping 10.147.20.5 # IP ZeroTier do router Teltonika
ping 192.168.1.1 # IP LAN do router (se a rota do Passo 9 estiver ativa)
Ambos os pings devem responder. Para diagnóstico avançado, use zerotier-cli peers em qualquer nó para verificar o estado da conexão P2P (estado LEAF com latência em ms indica conexão direta).
Configuração mínima: ping bem-sucedido para o IP ZeroTier do router. Erro comum: o firewall do Windows bloqueia as respostas ICMP; desative-o temporariamente para diagnóstico ou adicione uma regra de entrada para ICMP em Windows Defender Firewall → Advanced Settings.
Referências Oficiais
- 📘 Documentação oficial do ZeroTier
- 📘 Documentação oficial do WireGuard
- 📘 Wiki da Teltonika Networks – ZeroTier
- 📘 Tutorial ZeroTier em routers Teltonika (Teltonika Academy)
- 📘 Guia de início rápido do WireGuard no Linux
5. Conclusões e Recomendações Finais
ZeroTier e WireGuard não são concorrentes diretos em todos os cenários: são ferramentas complementares que respondem a necessidades distintas.
Escolha ZeroTier se precisar conectar rapidamente dispositivos heterogêneos sem gerir infraestrutura de servidores, especialmente em ambientes IoT com routers Teltonika, equipes de trabalho remoto ou redes onde a facilidade de incorporação de novos nós seja prioritária. Sua integração nativa com RutOS e a gestão centralizada a partir do ZeroTier Central o tornam a opção mais pragmática para a maioria dos administradores de sistemas com recursos limitados.
Escolha WireGuard se o desempenho máximo, o controle total sobre a infraestrutura e a integração a nível de kernel forem requisitos inegociáveis. É a opção correta para VPNs site-a-site de alto throughput, ambientes onde a dependência de serviços em nuvem de terceiros é inaceitável ou quando se trabalha com hardware muito limitado em recursos.
Para ambientes híbridos, uma estratégia válida é usar ZeroTier para gestão e acesso remoto (administração de dispositivos, acesso a consoles) e WireGuard para túneis de dados de alto volume entre sedes fixas, aproveitando as fortalezas de cada protocolo sem comprometer nem a operatividade nem o desempenho.