前言
前段时间服务器搬迁，搬出了校园网的环境，但是实验室的GPU服务器还在校园网环境内，导致无法直连，必须使用学校的VPN才能访问。
但众所周知，学校的官方VPN体验巨差，因此想着自己用开源工具实现一个组内自用的方案。
于是就想到使用 zerotier 组一个虚拟局域网（具体原理不在此赘述了，你只需要知道加入虚拟局域网后，设备之间即使不在同一个局域网下，也能通过虚拟局域网IP实现 P2P 连接，具有很好的体验）。
但是实验室中的服务器一般不会连接到互联网上，因此并不能直接把服务器接入到 zerotier 中，只能探索其他方案了。
以下是我的完整解决方案。
自建 zerotier planet
这一部分我是完成参考的下述Github仓库，在此也不做过多赘述。
按照其README搭建好 planet 服务器后，所有加入网络的机器之间就可以相互访问了，但是正如前言中所述，实验室的服务不能直接接入其中，需要使用另一台机器转发。
zerotier 的转发
正好我在校内有一台自用的服务器（下文中将其成为转发服务器），我的主页等等服务均运行在上面。我可以将它加入到虚拟局域网，并让它帮我转发与服务器连接的流量即可。
假设转发服务器有校内IP 172.26.1.2 和虚拟局域网IP 10.11.1.2，实验室服务器均为校内IP 114.212.1.101 到 114.212.1.105。
首先进入上述配置好的 zerotier planet 后台，将转发服务器的 Active bridge 勾选上，才能允许其转发流量。
转发服务器的配置
首先需要开启转发功能，标记 /etc/sysctl.conf 文件，将 net.ipv4.ip_forward 修改为1，没有的话加一行，接着运行下述命令
sudo sysctl -p # 转发配置立即生效
# 配置转发
PHY_IFACE=enp5s0 # 根据网卡自行修改
ZT_IFACE=ztlowm7c2d # 根据网卡自行修改
iptables -t nat -A POSTROUTING -o $PHY_IFACE -j MASQUERADE
iptables -A FORWARD -i $PHY_IFACE -o $ZT_IFACE -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -i $ZT_IFACE -o $PHY_IFACE -j ACCEPT
上述iptables重启后会失效，可以自行搜索永久配置方法。
客户端配置
虽然可以在 zerotier planet 后台配置 routes，填写Target=114.212.0.0/16, Gateway=10.11.1.2，让客户端自行下载相关路由表，将发送到实验室服务器的流量发送到转发服务器上。
但由于114.212.0.0/16是公网IP的范围，zerotier并不会下发这个路由。（其他的内网IP端，比如172.26.0.0/16是可行的）。
只需让用户在客户端执行下述代码即可，允许远程配置的公网路由：
zerotier-cli set {网络ID} allowGlobal=1