Cloudflare WARP 给 Linux VPS 云服务器添加原生 IPv4/IPv6 双栈网络-整点猫咪

原作者：P3TERX 文章链接

前言

Cloudflare WARP 是 Cloudflare 提供的一项基于 WireGuard 的网络流量安全及加速服务，能够让你通过连接到 Cloudflare 的边缘节点实现隐私保护及链路优化。之前有很多小伙伴拿来当做某科学的上网工具来使用，应该很熟悉了。不过由于 WireGuard 数据传输使用的 UDP 协议，中国大陆的网络运营商会对其进行 QoS ，加上很多节点的 IP 被封锁，现在可以说几乎处于不可用的状态了。而对于自由网络的地区来说则没有这些限制，加上有国外开发者制作的工具可以生成通用的 WireGuard 配置文件，这使得我们可以在安装了某科学的上网工具的海外 VPS 上部署它并获得如下作用：

WARP 网络出入口均为双栈 (IPv4/IPv6)，因此单栈 VPS 云服务器可以连接到 WARP 网络来获取额外的网络连通性支持：
- IPv6 Only VPS 可获得 IPv4 网络的访问能力，不再局限于 NAT64/DNS64 的束缚，能自定义任意 DNS 解析服务器，这对使用某科学的上网工具有奇效。
- IPv4 Only VPS 可获得 IPv6 网络的访问能力，比如可作为 IPv6 Only VPS 的 SSH 跳板。此外 WARP 的 IPv6 网络的质量比 HE IPv6 Tunnel Broker 甚至 VPS 自带的都要好，很少绕路。
WARP 对外访问网络的出口 IP 被很多网站视为真实用户，即所谓的原生 IP 或私人家庭住宅 IP，可以解除某些网站基于 IP 的封锁限制：
解锁 Netflix 非自制剧
解决 Google 搜索流量异常频繁跳出人机身份验证的问题
解决无法打开 Google Scholar (谷歌学术) 403 访问限制的问题
解决 Google 的 IP 定位漂移到中国(送中)，无法使用 YouTube Premium 的问题
当然这只是冰山一角，其它作用小伙伴们可以在部署后慢慢发掘，如果你发现有意思的使用场景或其它玩法欢迎留言分享。

本篇是相关知识科普和纯手动部署教程，小伙伴们可边学习边折腾。如果想直接部署可以使用 Cloudflare WARP 一键安装脚本。

TIPS: 需要注意的是 WARP 并不提供独立公网 IP 地址，它是以 NAT 的方式去访问外部网络，即只能用于对外网络访问，不能用于对 VPS 本机访问，可以理解为连上了由 Cloudflare 提供的大内网。如果你的需求是要一个可供访问 VPS 的公网 IPv6 地址，那么可以使用 HE IPv6 Tunnel Broker 。

安装 WireGuard

既然 WARP 基于 WireGuard ，那么我们首先就需要安装 WireGuard 。

博主暂时只写了 Debian 的 WireGuard 详细安装方法：《Debian Linux VPS WireGuard 安装教程》，其它系统可以参考官方文档来进行安装。

如果你懒得手动安装，也可以使用一键脚本来安装：bash <(curl -fsSL git.io/warp.sh) wg

使用 wgcf 生成 WireGuard 配置文件

ViRb3/wgcf 是 Cloudflare WARP 的非官方 CLI 工具，它可以模拟 WARP 客户端注册账号，并生成通用的 WireGuard 配置文件。

安装 wgcf

curl -fsSL git.io/wgcf.sh | sudo bash

wgcf register

生成 WireGuard 配置文件 (wgcf-profile.conf)

wgcf generate

生成的两个文件记得备份好，尤其是 wgcf-profile.conf，万一未来工具失效、重装系统后可能还用得着。

编辑 WireGuard 配置文件

将配置文件中的节点域名 engage.cloudflareclient.com 解析成 IP。不过一般都是以下两个结果：

162.159.192.1 2606:4700:d0::a29f:c001
这样做是因为后面的操作要根据 VPS 所配备的网络协议的不同去选择要连接 WARP 的节点是 IPv4 或 IPv6 协议。

IPv4 Only 服务器添加 WARP IPv6 网络支持

将配置文件中的 engage.cloudflareclient.com 替换为 162.159.192.1，并删除 AllowedIPs = 0.0.0.0/0。即配置文件中 [Peer] 部分为：

[Peer]
PublicKey = bmXOC+F1FxEMF9dyiK2H5/1SUtzH0JuVo51h2wPfgyo=
AllowedIPs = ::/0
Endpoint = 162.159.192.1:2408

原理：AllowedIPs = ::/0参数使得 IPv6 的流量均被 WireGuard 接管，让 IPv6 的流量通过 WARP IPv4 节点以 NAT 的方式访问外部 IPv6 网络。

此外配置文件中默认的 DNS 是 1.1.1.1，博主实测其延迟虽然很低，但因为缺少了 ECS 功能所以解析结果并不理想。由于它将替换掉系统中的 DNS 设置 (/etc/resolv.conf)，建议小伙伴们请根据实际情况来进行替换，或者直接删除 DNS 这行。以下配置供参考：

DNS = 8.8.8.8,8.8.4.4,2001:4860:4860::8888,2001:4860:4860::8844

IPv6 Only 服务器添加 WARP IPv4 网络支持

将配置文件中的 engage.cloudflareclient.com 替换为 [2606:4700:d0::a29f:c001]，并删除 AllowedIPs = ::/0。即配置文件中 [Peer]部分为：

[Peer]
PublicKey = bmXOC+F1FxEMF9dyiK2H5/1SUtzH0JuVo51h2wPfgyo=
AllowedIPs = 0.0.0.0/0
Endpoint = [2606:4700:d0::a29f:c001]:2408

原理：AllowedIPs = 0.0.0.0/0参数使得 IPv4 的流量均被 WireGuard 接管，让 IPv4 的流量通过 WARP IPv6 节点以 NAT 的方式访问外部 IPv4 网络。

此外配置文件中默认的 DNS 是 1.1.1.1，由于是 IPv4 地址，故查询请求会经由 WARP 节点发出。由于它将替换掉系统中的 DNS 设置 (/etc/resolv.conf)，为了防止当节点发生故障时 DNS 请求无法发出，建议替换为 IPv6 地址的 DNS 优先，或者直接删除 DNS 这行。以下配置供参考：

DNS = 2001:4860:4860::8888,2001:4860:4860::8844,8.8.8.8,8.8.4.4

双栈 WARP 全局网络置换

双栈 WARP 全局网络是指 IPv4 和 IPv6 都通过 WARP 网络的出口对外进行网络访问，实际上默认生成的 WireGuard 配置文件就是这个效果。不过默认的配置文件没有外部对本机 IP 访问的相关路由规则，一旦直接使用 VPS 就会直接失联，所以我们还需要对配置文件进行修改。路由规则需要添加在配置文件的 [Interface] 和 [Peer] 之间的位置，以下是路由规则示例：

[Interface]
...
PostUp = ip -4 rule add from <替换IPv4地址> lookup main
PostDown = ip -4 rule delete from <替换IPv4地址> lookup main
PostUp = ip -6 rule add from <替换IPv6地址> lookup main
PostDown = ip -6 rule delete from <替换IPv6地址> lookup main
[Peer]
...

TIPS: 包含<>(尖括号)的部分一起替换掉，这只是为了看起来明显。

替换配置中的 IP 地址部分为 VPS 的公网 IP 地址，如果 IDC 提供的是 VPC 内网方案则需要替换为内网 IP 。像 AWS 、Azure 、Google Cloud 、Oracle Cloud 等大厂都是 VPC 内网方案，内网地址一般会在网页面板有提供。如果不确定是哪种网络方案，输入 ip a | grep <公网IP地址> 看是否有显示，没有那么就说明是 VPC 内网方案。

启用 WireGuard 网络接口

将 WireGuard 配置文件复制到 /etc/wireguard/ 并命名为 wgcf.conf。

sudo cp wgcf-profile.conf /etc/wireguard/wgcf.conf

开启网络接口（命令中的 wgcf 对应的是配置文件 wgcf.conf 的文件名前缀）。

sudo wg-quick up wgcf

执行执行ip a命令，此时能看到名为wgcf的网络接口，类似于下面这张图：

执行以下命令检查是否连通。同时也能看到正在使用的是 Cloudflare 的网络。

# IPv4 Only VPS

curl -6 ip.p3terx.com

# IPv6 Only VPS

curl -4 ip.p3terx.com

测试完成后关闭相关接口，因为这样配置只是临时性的。

sudo wg-quick down wgcf

正式启用 WireGuard 网络接口

# 启用守护进程

sudo systemctl start wg-quick@wgcf

# 设置开机启动

sudo systemctl enable wg-quick@wgcf

IPv4 与 IPv6 网络优先级设置

TIPS: 仅限使用操作系统 DNS 优先级策略的应用。某科学的上网工具的的优先级取决于其内置的 DNS 策略和路由分流功能。详细信息参见《优先级设置在特殊场景中的局限性》和《某科学的上网工具 IPv4/IPv6 分流方法》章节。

当访问的网站是双栈且服务器也是双栈，默认情况下 IPv6 优先级高于 IPv4，应用程序优先使用 IPv6 地址。

理论上应该是如下情况：

IPv4 Only 服务器优先通过新增的 WARP IPv6 网络去访问外部网络。
IPv6 Only 服务器优先通过原来的 IPv6 网络去访问外部网络。

然而 WARP 的情况有点特殊，可能与 WireGuard 的路由规则有关，所以现实的情况可能是：

IPv4 Only 服务器优先通过原来的 IPv4 网络去访问外部网络。
IPv6 Only 服务器优先通过原来的 IPv6 网络去访问外部网络。

如果你对于这个设定不满意，可以根据实际的需求手动去设置 IPv4 与 IPv6 的优先级。

IPv4 优先

编辑 /etc/gai.conf 文件，在末尾添加下面这行配置：

precedence ::ffff:0:0/96  100

一键添加命令如下：

# IPv4 优先

grep -qE '^[ ]*precedence[ ]*::ffff:0:0/96[ ]*100' /etc/gai.conf || echo 'precedence ::ffff:0:0/96  100' | sudo tee -a /etc/gai.conf

IPv6 优先

编辑 /etc/gai.conf 文件，在末尾添加下面这行配置：

label 2002::/16   2

一键添加命令如下：

# IPv6 优先

grep -qE '^[ ]*label[ ]*2002::/16[ ]*2' /etc/gai.conf || echo 'label 2002::/16   2' | sudo tee -a /etc/gai.conf

验证优先级

执行 curl ip.p3terx.com 命令，显示 IPv4 地址则代表 IPv4 优先，否则为 IPv6 优先。

优先级设置在特殊场景中的局限性

在 VPS 上使用某科学的上网工具时出站的 IPv4/IPv6 优先级还取决于科学工具的 DNS 策略和分流路由策略。

比如某些路由器上的某科学的上网工具客户端不会发送域名给服务端做 DNS 解析，而是在本地直接将域名解析为 IP 并通过服务端直接向已解析的 IP 发起连接，那么可能因为路由器 DNS 屏蔽了 AAAA 记录就只会去访问 IPv4 网络。这个问题解决方法是开启某科学的上网工具服务端的流量探测 (sniffing) 功能，并添加相关路由规则进行分流处理，服务端会从请求数据中嗅探出域名并进行二次 DNS 解析后对网络流量进行重定向，就比如可以将本身发往网站 IPv4 服务器的流量重定向到 IPv6 服务器（前提是这个网站使用了 IPv6 地址）。

某科学的上网工具 IPv4/IPv6 分流方法

有关某科学的上网工具的 DNS 和路由分流设置有很多资料，小伙伴们可自行咕鸽搜索。每个人的需求不一样，不可能以偏概全，最好是看相关工具的文档，所以博主在这里就不多赘述了。这里推荐一篇教程：《某科学的上网工具白话文手册 – 指定出站 IP》，结合相关文档食用效果更佳。

Cloudflare WARP 网速测试

使用 speedtest.net 提供的 CLI 工具测试通过 WARP 访问外部网络的极限网速。

安装 Ookla Speedtest CLI

curl -fsSL git.io/speedtest-cli.sh | sudo bash

执行speedtest命令测速。

博主随便拿了一个吃灰的 LXC 小鸡进行测试，发现即使用的是 wireguard-go 其网速依然很猛，几轮测试下来速度都在 500M 上下。可以预见的是这个速度应该远未达到 WARP 的极限，不过随着这篇教程的发布，之后是否还是这么理想就不得而知了。

写在最后

Cloudflare 一直以来为广大人民群众免费提供优秀的网络服务，希望大家善待它，不要肆意滥用。

转载补充：这篇文章的成文时间是2021年的2月，至今已经两年了，网络情况已经有了很大变化，Surge已经很完美的支持了将Warp的配置转化为wireguard配置使用，而LOON对wireguard也进行了支持，Stash（很不想提这个东西）也支持了，Shadowrocket（小火箭）也在测试中，而我也写过将warp配置转化为wireguard用于surge的教程，目前warp的网络情况已经不如当初了，当然直连情况下看YouTube的1080P还是没问题，还是转这篇文章的目的还是希望能够让大家看一下学习一下，最后，还是如作者所言：不要肆意滥用