组网完成后，ZeroTier分配的虚拟IP通常已经可以让各个节点互相通信，但主机名访问并不会自动出现。比如你希望用 db.zt.local 来连接内网数据库，而不是每次记住 10.147.17.2，就需要在 ZeroTier 网络中统一配置 DNS。ZeroTier 从 1.6 版本开始把 DNS 管理纳入网络控制器，后台可以集中下发搜索域和 DNS 服务器，客户端加入网络后自动写进系统解析器。这个过程依赖本地客户端支持和系统对网络接口的管理，因此除了控制台配置，还需要确认各设备已经允许接收下发的 DNS 设置。
ZeroTier DNS 配置能做什么
在 ZeroTier 网络中，每个节点都会获得一个虚拟网卡和对应的管理 IP。传统做法是用 /etc/hosts 或者内部 DNS 服务器手工维护主机名与 IP 的映射，但当节点数量增多、IP 动态变化时，维护成本会明显上升。ZeroTier 的网络控制器可以在节点加入时下发一个 DNS 配置对象，其中包括搜索域和一组 DNS 服务器地址。客户端收到后，会将这些配置应用到 ZeroTier 虚拟网卡或系统解析器中，从而实现通过域名访问其他节点。
它和普通 DHCP 下发 DNS 并不完全一样。ZeroTier 并不负责地址租约，而是通过带外通道把 DNS 信息推送给客户端，客户端再根据操作系统能力写入解析链。因此这个能力更适合补足虚拟二层网络中的名称解析，而不是替代现有的公网 DNS 解析。对于运行在内网节点的 CoreDNS、Pi-hole、Windows AD DNS 等解析服务，只要它们在 ZeroTier 网络内有固定 IP，就可以被设置为下发的 DNS 服务器。
这里需要特别区分 allowDNS 和 allowDefault 两个客户端选项。allowDNS 控制是否接受网络控制器下发的 DNS 配置，而 allowDefault 决定是否让 ZeroTier 网络成为默认路由。在远程办公场景里，通常只希望访问内网域名时走 ZeroTier 内的 DNS，访问公网域名仍走本机原有 DNS，此时只开启 allowDNS 即可；如果把 allowDefault 也打开，可能让所有流量都绕到虚拟网络，反而拖慢公网访问速度。
在 ZeroTier Central 中设置域名和 DNS 服务器
最直观的配置入口是 ZeroTier Central 网页后台。登录 my.zerotier.com 后，选择目标网络，进入网络设置页面，在 DNS 区域可以添加搜索域和服务器地址。搜索域的作用是让短主机名能够自动补全，例如配置 zt.local 后，访问 db 就等价于访问 db.zt.local。服务器地址必须是网络中可达的 IP，一般填写实际运行 DNS 服务的那台节点在 ZeroTier 网络中的虚拟 IP。
举个简单示例：假设 ZeroTier 网络网段是 10.147.17.0/24，其中 10.147.17.2 部署了内网 DNS 服务，需要解析 db.zt.local 和 cache.zt.local。在 Central 的 DNS 配置中，搜索域填写 zt.local，服务器填写 10.147.17.2，保存后控制器会把这个配置同步给所有在线节点。离线节点会在下次连入网络时自动拉取。
从底层看，这个配置对应网络配置对象中的 dns 字段。可以通过 API 或本地 zerotier-cli 查看网络原始信息，形如以下结构：
{
"dns": {
"domain": "zt.local",
"servers": ["10.147.17.2"]
}
}
需要留意的是，这里填写的 DNS 服务器本身并不负责域名解析记录的创建，你仍然需要在该服务器上配置 zt.local 区域以及对应 A 记录。ZeroTier 只负责把这类请求指向这个服务器。
客户端如何启用并验证 DNS 下发
客户端默认不一定会接受所有网络配置。以 Linux 为例，可以先用 zerotier-cli 查看网络状态，然后通过 set 命令打开 allowDNS。执行后重新连接或稍等片刻，控制器的 DNS 配置就会被应用到系统解析器。
# 查看当前网络是否已识别到 DNS 配置 sudo zerotier-cli listnetworks # 允许当前网络应用控制器下发的 DNS 配置 sudo zerotier-cli set 9bee8941b5f0d2a6 allowDNS=1 # 重新查看状态，确认 DNS 字段出现 sudo zerotier-cli listnetworks
在 Windows 和 macOS 上，通常不需要手工执行命令。打开 ZeroTier One 图形界面，找到对应网络，进入网络详情或设置，勾选允许 DNS 配置的选项即可。不同客户端版本界面命名略有差异，但核心开关都围绕 DNS Configuration 或 Allow DNS。勾选后，ZeroTier 会通过虚拟网卡把 DNS 服务器写入系统。
验证时可以先看系统识别到的 DNS 服务器。Linux 使用 resolvectl status 或查看 /etc/resolv.conf，Windows 在命令行执行 ipconfig /all，macOS 可以运行 scutil --dns。确认 ZeroTier 接口或系统全局配置中出现了 10.147.17.2 之后，再用 nslookup 或 ping 测试域名。
# 使用指定 DNS 服务器测试 nslookup db.zt.local 10.147.17.2 # 使用系统默认解析链测试 nslookup db.zt.local
如果 nslookup 能返回正确的 10.147.17.x 地址，但 ping 不通，这通常不是 DNS 配置问题，而是目标主机的防火墙或网络策略拦截了 ICMP 请求。
DNS 不生效时的排查思路
配置完成后无法解析时，第一步先看客户端是否真正接收到了控制器的 DNS 配置。Linux 下运行 zerotier-cli listnetworks，在对应网络信息中确认是否出现 DNS 相关字段。如果完全没有，检查客户端版本是否低于 1.6，或者 allowDNS 是否被关闭。Windows 下则可以重启 ZeroTier One 服务后重新连接网络，有时 GUI 的配置需要重连才会重新下发。
第二步检查系统解析链的优先级。在某些 Linux 发行版中，systemd-resolved、NetworkManager 和 resolvconf 可能相互影响，ZeroTier 写入的 DNS 服务器可能被其他网络接口的配置覆盖。使用 resolvectl status 查看各接口的 DNS 设置，确认 ZeroTier 接口的 DNS 优先级足够高。必要时可以调整接口度量值或修改 resolved 配置，让 zt 网络接口优先处理 zt.local 域名的查询。
第三步从 DNS 服务器本身排查。登录运行内网 DNS 的那台节点，确认服务监听在 ZeroTier 虚拟 IP 的 53 端口上，例如 CoreDNS 监听 0.0.0.0:53 或具体虚拟 IP。然后执行 nslookup db.zt.local 10.147.17.2，如果指定服务器可以解析、默认解析失败，说明问题在客户端解析链；如果指定服务器也失败，需要检查 DNS 服务配置和区域记录。
常见错误还包括：搜索域没有配置导致短名称解析失败，DNS 服务器地址写成了物理局域网 IP 而该 IP 在 ZeroTier 网络内不可达，或者客户端同时使用了多个 VPN 工具导致 DNS 设置互相覆盖。遇到这些问题时，可以先缩小范围，只保留 ZeroTier 网络和一个 DNS 服务器，再逐步加入其他网络配置。