| OpenVLAN | ZeroTier | |
|---|---|---|
| 抽象层级 | 三层，基于身份的 IP 网络 | 二层虚拟以太网（桥接、多播） |
| 加密 | AmneziaWG 端到端加密 | 自定义协议，端到端 |
| 控制器 | SaaS 协调层 | 托管控制器或自托管 |
| 访问控制 | 按用户/标签/端口的集中式 ACL | 按网络的规则，基于流 |
| 身份提供商 / SSO | 原生支持，含 SCIM | 取决于控制器 |
| 审计与会话录制 | 内置 | 不包含 |
| 二层需求（广播域） | 通过子网路由器桥接 | 原生强项 |
| 开源客户端 | 是 | 是 |
您确实需要二层语义——广播流量、非 IP 协议，或跨站点的以太网桥接。
您的访问基于 IP，并希望 SSO、SCIM、ACL 和审计成为一等公民，而非控制器的外挂功能。
游戏实验室和 IoT 集群继续用 ZeroTier 满足二层需求；生产基础设施为了身份与策略能力迁移到 OpenVLAN。