前言

自从6月初国内WARP近乎全军覆没，对一大批日常以WARP为主要学习手段的朋友来说，无异于天崩地裂般的打击，就连我这只是将WARP作为备用手段的人，也受影响而不得不考虑其他的备用方式。

不过，好消息来了：ios最新版WARP客户端(安卓的正式版还要等，目前可以用Beta版)通过支持”MASQUE”协议，已经”暂时”满血复活(为什么说暂时，留点悬念，文章最后说)，目前我测试ios、ipad、win、mac上的WARP都已经恢复正常。

本文就简单描述一下”MASQUE”协议的原理以及各个平台上WARP客户端如何配置使用新协议。

MASQUE为什么能让WARP复活？

基于WireGuard协议的WARP

WARP最初(2019年)选择WireGuard协议是因为它具有以下几个显著优势：

• 简单性和易用性：WireGuard的设计非常简单，代码量较小，这使得它易于审计和维护。相较于其他VPN协议，WireGuard的实现更加直接。
• 高性能：WireGuard使用现代加密算法，能够在保持安全性的同时提供较低的延迟和较高的速度。这对于需要快速响应的应用场景（如游戏和视频流）非常重要。
• 安全性：WireGuard采用了最新的加密技术，提供强大的安全性，降低了安全漏洞的风险。
• 跨平台支持：WireGuard能够在多个平台（如Linux、Windows、macOS、iOS和Android）上运行，增强了其灵活性和可用性。
• 快速连接建立：WireGuard在建立连接时的时间相对较短，改善了用户体验。

因此，选择WireGuard作为WARP的基础协议，能够帮助Cloudflare提供更快速、安全和易用的网络连接体验。

不过，虽然WireGuard在VPN解决方案中非常受欢迎，但它并未被正式纳入IETF（互联网工程任务组）的标准，因此在互联网世界中未能得到“一等公民”的待遇，这意味着它在某些环境中可能不被广泛接受或识别(WireGuard默认使用非标准端口51820，Zero Trust WARP将其改为2408端口，但这仍然是一个非标准端口)，尤其是在某些ISP或网络管理策略下。

对于管理自己防火墙的客户而言，这不是问题，他们只需允许该流量即可。然而，许多公共Wi-Fi网点和全球约7000家ISP对WireGuard并不知情，可能会阻止这些端口，还有些ISP会故意阻止(嗯，说谁呢？)。

另外，WireGuard本身只是一个VPN协议，在设计之初也没有考虑过”混淆”这个需求(这通常是科学或者魔法手段该考虑的事)，所以流量特征非常明显，对于ISP来说，禁或者不禁只看愿意不愿意而已。

归根结底，基于WireGuard协议的WARP，本身就不适合有”混淆”需求的场合，因为太容易被针对(参考目前OpenVPN在国内的使用状态，规律性掉包就看你能不能忍)。

新协议”MASQUE”

MASQUE（Media Application Substrate for QUIC Encryption）是Cloudflare的WARP新协议，它使用并扩展了 HTTP/3 和 QUIC，目的在于增强隐私和性能：它通过QUIC协议提供更快的连接，同时保护用户数据不被窥探。

与WARP 最为相关的是，QUIC 通过数据包合并和多路复用，可在低延迟网络或高丢包率网络上提供更好的性能。 在握手过程中，处于不同上下文的 QUIC 数据包可以合并到同一个 UDP 数据报中，从而减少了接收和系统中断的次数； 通过多路复用，QUIC 可以在同一 UDP 连接中承载多个 HTTP 会话。WARP 还得益于 QUIC 的高保密性，协议中使用了TLS 1.3。

简单来说，MASQUE就是使用QUIC来替代曾经的”WireGuard”，虽然仍旧是使用UDP协议，但是却从非标的端口变成了标准且加密的443端口。

注：大家看出隐患了吗？

背景知识：

QUIC 和 HTTP/3 之间的关系可以概括为：HTTP/3 是基于 QUIC 协议构建的下一代 HTTP 协议。

1. QUIC 是传输层协议

• QUIC 是一种新的传输层协议，最初由 Google 开发，旨在取代 TCP，优化网络传输性能。QUIC 在设计时结合了 TCP 的可靠性和 UDP 的速度，能够提供低延迟和更好的连接恢复能力。
• 它内置了多路复用、快速握手（只需一个 RTT 或 0-RTT）和加密（通过 TLS 1.3 实现），这些特性大大提升了传输性能。

2. HTTP/3 基于 QUIC

• HTTP/3 是 HTTP 协议的最新版本，它取代了基于 TCP 的 HTTP/1.1 和 HTTP/2，转而使用 QUIC 作为底层传输协议。
• 在 HTTP/3 中，请求和响应的数据通过 QUIC 流来传输，利用 QUIC 的多路复用能力，避免了 HTTP/2 中的“队头阻塞”问题。QUIC 的加密和握手机制使 HTTP/3 的连接更快、更安全。

3. 改进的性能

• HTTP/3 通过使用 QUIC 改进了数据传输性能，减少了延迟、提高了连接速度，尤其是在高延迟或不稳定网络环境中表现更加优越。

各平台”MASQUE”配置方法

对于各平台的WARP客户端，只要升级到最新版，其实就已经同时支持”MASQUE”和”WireGuard”两种协议了，只不过，”WireGuard”优先级比较高，是默认的选择。对于其他区域的用户来说，这算是合理的默认值，但是对于国内的朋友来说，这个就很坑了，因为国内”WireGuard”方式已经被废了。所以，关键在于如何让WARP客户端使用”MASQUE”方式进行连接。

Zero Trust方式

注：cloudflare Zero Trust和WARP的相关设置参见文章：家庭数据中心系列 通过tunnel技术，让无公网IP的家庭宽带也能白嫖cloudflare实现快速建站(推荐)和家庭数据中心系列 合理利用cloudflare WARP来提高自己访问网站的速度(桌面版)，文本中就不重复讲了。

如果WARP是采用Zero Trust方式连接，则只需要在Zero Trust上进行简单的设置，让所有连接的WARP客户端默认采用”MASQUE”协议进行连接即可，这是最省事的方式，不用去折腾客户端：

然后所有平台的WARP客户端(需要升级到最新版)都可以正常连接了，不需要在客户端上做任何修改：

非Zero Trust方式

对于其他没有办法使用Zero Trust方式的朋友而言，就要稍微折腾一下，在各个平台的客户端上分别进行设置了。

ios(iphone和ipad)

这是最简单的，只要把WARP客户端升级到最新版(6.25)即可直接按照以下流程设置即可。
点击右上角选项：

选择”高级”：

选择”连接选项”：

隧道协议选择”MASQUE”：

然后重新连接，就可以看到熟悉的画面：

注1：ios、ipad全新安装或者升级WARP客户端到最新版需要外区的Apple ID；

注2：如果WARP客户端不是全新安装，需要删除以前的设置(在WARP”账号”设置中删除已有的VPN策略)。

注3：这种方式如果要使用WARP+需要用其他方式获取流量(WARP是无限流量，但是WARP+不是，而Zero Trust方式直接是无限流量的WARP+)。

注4：我现在的情况是使用家里的有线宽带能连接上，但是使用蜂窝流量连不上。不过，如果是用家里宽带连上之后再出门用蜂窝流量是可以继续使用的，但是断开之后就连不上了，具体原因我没有深究，初步感觉和DNS有关。

注5：Android版貌似需要WARP 6.35版本才支持”MASQUE”，目前Google Play里WARP的最新版本为6.34，如果非要现在使用可以加入Beta测试，就会和ios版一样多出”MASQUE”的选项。

Win10/Win11

• 1、首先安装(升级到)WARP最新版客户端：WARP win版客户端官方下载地址。
• 2、新建”mdm.xml”文件，将以下内容粘贴进文件并保存：

    warp_tunnel_protocol
    masque

• 3、将”mdm.xml”文件拷贝到路径(这步操作其实就是直接告诉客户端使用MASQUE进行链接)：

C:\ProgramData\Cloudflare

• 4、完全退出WARP客户端(任务管理器里杀掉进程)，重新启动，然后直接连接即可。

Mac

mac版的WARP客户端有点麻烦，虽然升级到最新版(WARP mac版客户端官方下载地址)之后已经支持了”MASQUE”协议,但是和Win版一样，并没有提供”MASQUE”的设置项。Win版还可以通过”mdm.xml”的方式来让WARP客户端选择”MASQUE”协议，但是Mac版却不行。

其实我建议，如果非要现在使用mac版的WARP，就用Zero Trust方式来用，否则就再等等。

但是如果非要现在用的话，只能使用mac版WARP的beta版，下载地址如下：Cloudflare WARP macOS Beta，安装Beta版之后在终端下运行如下命令设置来启用”MASQUE”：

warp-cli tunnel protocol set MASQUE

Linux

linux下需要已经成功部署WARP(参见文章：家庭数据中心系列 云主机上部署cloudflare warp来提高网络访问速度(Linux cli版))，成功部署之后也是和win下一样，采用放置mdm.xml的方式，可以直接用vim命令：

vim /var/lib/cloudflare-warp/mdm.xml

将文章前面”mdm.xml”的内容粘贴进去，保存退出，然后重启WARP服务并连接：

systemctl restart warp-svc
warp-cli connect

不放心的话还可以查看下状态：

warp-cli status

注：如果用Zero Trust，哪有这部分的折腾，所以大家还是尽量用Zero Trust方式吧，一劳永逸，不用折腾客户端。

总结

虽然现在WARP看起来复活了，但是”MASQUE”基于QUIC有个巨大的隐患：需要使用UDP 443端口。这个对于国外网络倒是稳了，因为不可能封UDP 443端口，但是国内嘛～。从下图中可以看出，直接使用WARP我会被分到SJC(San Jose Center)数据中心：

也就是访问会出境，这时候是要通过某”wall”的，如果某”wall”把所有目标端口是UDP 443端口的来自国内的请求丢弃或者拒绝掉，那WARP又会死翘翘了，所以标题里我才用了”暂时”2个字。

但是不管怎么说，现在WARP算是复活了，虽然不知道能活多久～～～～。