Cloudflare Warp / Zero Trust 中国专线使用体验

[jsq2627]

公司前段时间花大价钱采购了 CF Zero Trust ，可以看作 CF Warp 的企业版。因为和 CF Warp 共用接入点，在国内被墙，并且 Warp 客户端和所有其他翻墙软件都冲突，于是公司又花大价钱采购了 CF 提供的中国专线。国内员工在 Warp 客户端配置接入点后，不需要开其他任何翻墙软件，就可以顺畅访问国外资源。

开通中国专线后，CF 会提供一个国内接入点 IP ，员工在自己电脑安装 Warp 客户端后，运行 warp-cli tunnel endpoint set <ip> 配置接入点。当然实际部署过程是 IT 通过 MDM 下发策略统一安装的，并不需要每个人手动运行命令。

经查询，这个国内接入点 IP 位于深圳，AS4816 ，三网 BGP 。开放了 2408 端口（运行 WireGuard 协议）和 443 端口（反代了 1.1.1.1 DoH 和 CF API ）。有鉴权机制，非本组织下账号，即使配置这个接入点，也无法连上。

通过国内接入点启用 Warp 后，电脑的所有流量全部经过 Cloudflare ，包括国内流量（ CF Warp 有分流功能，可以指定哪些 IP/域名 不走隧道，理论上可以实现国内外分流）。公司 IT 可以在后台配置流量出口区域。尽管接入点在国内，但 CF 在国内没有出口，最近只能从香港。因为 OpenAI 等在香港不能使用，对于有需要使用这些 AI 服务的员工，IT 可以单独配置从新加坡、美国等地出口。

Warp 海外段是不限速的。国内专线段公司买了 300M 带宽。Warp 底层 WireGuard 属于 UDP 协议，从我在高峰期测试来看，国内段并没有遇到运营商 UDP QoS ，在任何时段都能跑满 300M 。丢包率在我买过的所有机场里是最好的。

通过 rany2/warp.sh 把 WireGuard 凭据提取出来后，就可以在 Surge 等工具里使用。凭据有效期很短，需要定时续期，每次续期后，原来的 private key / client id 都可以继续使用，所以配置维护起来不算麻烦。使用 Surge 测速，延迟比我买的机场 (dlercloud) 略高（ 10ms 以内）。

Warp 客户端会收集上报很多设备信息，只有满足公司 IT 设定的策略后，才允许访问公司内网资源。自行提取 WireGuard 配置，因为缺少上报设备信息，无法访问公司内网资源，但是可以正常访问其他所有普通网站。

使用 Warp 客户端，访问公司内网资源，会在 CF 后台留下审计日志。访问非公司内网资源，因为 Warp 客户端会使用特定的 DNS ，有域名屏蔽策略，会劫持被屏蔽网站的解析（ Warp 客户端安装了 MitM 证书），跳出拦截页面，并留下审计日志。

根据从公司外不可靠来源听到的消息，CF 国内专线采购价在 160 元/M 左右。这个价在 IPLC 专线里算是正常水平吧。当然 CF Zero Trust 本身就不便宜了，中国专线是附加付费服务，如果只是为了合规翻墙，那么性价比不高。但如果企业本身想买 Zero Trust 方案，顺便加钱搞个合规翻墙，那看起来还是不错的选择。

[basncy]

AS4816 ，Mark

[youx]

CF 国内专线采购价在 160 元/M 左右

[ranaanna]

可不可以向有关部门举报 cloudflare ，因为“任何单位和个人不得自行建立或者使用其他信道进行国际联网”？有没有 ISP/ICP 经营许可证？被封的同时又“合规翻墙”，凭什么

[jsq2627]

@ranaanna 很显然 CF 是和国内企业合作的。CF 公开的国内合作伙伴是京东云。但是 AS4816 看起来不像是京东云。

[JensenQian]

https://blog.cloudflare.com/zh-cn/china-express/
之前见到过这个中国版的
不过除了楼主这个帖子
我是第一次见到实际长啥样

[JensenQian]

@JensenQian https://developers.cloudflare.com/china-network/concepts/global-acceleration/

[iijboom]

你这确实是大价钱了，直白的说就是冤大头... 160/M 这个价格是三段到公司了吗？讲真 50/M 他们都已经赚一半以上了，就是小带宽可能确实要 50/M ，大带宽根本不用

[JoeSmith]

这价格不如买国外 sim 卡了吧

[dream7758522]

300m 一个月不得 4.8 万吗？公司规模应该很大。

[Yserver]

iplc 成本 20 ～ 30 也差不多了吧？

[jsq2627]

@Yserver 一手合规专线应该到不了这个价格

[iijboom]

@Yserver 这个价格包两段的都还能赚一半

[Yserver]

@jsq2627 好像真蛮低的，量大应该也就白菜价

[yyzh]

又一家冤大头公司

[yinmin]

@jsq2627 cloudflare zero trust 的 ios app 没在国区 appstore 吧？ 很好奇企业是如何部署 iphone 客户端，是国外 appstore 下载安装？还是有一个企业级 app 自行部署的（不从 appstore 下载）？

[jsq2627]

@iijboom
@yyzh
@Yserver
这个价格不知道是刊例还是成交价，我只是普通员工，不是 IT 更没有参与采购，不对真实性负责哈...

@dream7758522
作为对比，公司每年要在 AWS 上要花掉几千万美元；每年花几十 w RMB 解决中国员工网络问题，我觉得已经算抠了。

[dwb938]

@ranaanna 你可以举报这个试试
https://m.youtube.com/@CCTV

[jsq2627]

@yinmin 外企，中国员工自行解决 apple id 换区问题，本身员工人数也不多。

[MFWT]

估计价格大头还是在 ZeroTrust 上了

[Citrus]

@ranaanna 别只看一半啊，还有政策跨境企业允许申请跨境专线。你在腾讯云都能买到这个服务，由联通运营。

[huihuilang]

@iijboom 人家是合规大公司，怎么可能用那种不合规的线路

[ranaanna]

@Citrus 这逻辑，腾讯云有被 gfw 吗，可比性在哪里。意思是只要被内企撸一把羊毛就合规了？

[JensenQian]

@ranaanna 本质上都是三大运营商的专线
https://help.aliyun.com/zh/cen/support/faq-about-cross-border-network-communication?scm=20140722.S_help@@%E6%96%87%E6%A1%A3@@126245._.ID_help@@%E6%96%87%E6%A1%A3@@126245-RL_%E8%B7%A8%E5%A2%83%E7%94%B5%E5%95%86%E4%BA%91%E4%B8%93%E7%BA%BF-LOC_2024SPAllResult-OR_ser-PAR1_215044c417446765675416373ed523-V_4-RE_new3-P0_0-P1_0

阿里云的也是联通的

[Citrus]

@ranaanna 我举例意思告诉你腾讯云等都有卖合规的跨境专线，你以为是啥🥲

[Citrus]

@ranaanna 认真看下 @JensenQian 的回复，各家都有类似的，条款都差不多，都是合规专线。
这跟被内企薅羊毛没关系，你想要合规专线，那就不可能绕开运营商。CF 的也是跟运营商合作的。

[ersic]

什么人的第一反应是举报？

[ranaanna]

@Citrus warp 及 zero trust 是 cloudflare 于 2019 年推出的 VPN 服务，不是其传统的、在国内与京东云合作的基于反向代理的分布式 CDN 和 DNS 服务，更不是所谓的“合规跨境专线”。你以为是啥🥲

[iijboom]

@huihuilang 我说的就是合规的

[yorkyoung]

其实你公司应该把服务切割购买，CF Zero Trust 和 跨境这一段。
理论上会增加不稳定因素，其实差别不大。
一个独立 IP 的 300M 跨境三网 BGP 应该会便宜不少

[SenLief]

103.44 网段的嘛？

cf 中国专线是合规的，但不是和京东云，而是和运营商或者二级合作的，as4816 是电信的，那应该是 Niaoyun 的线，它还有 cmi 和 CBC tech 。我记得官网就有写，好几年了。

[SenLief]

@yorkyoung 对于大公司来说审计才是主要的吧，网络只是一方面了。

[SenLief]

@ranaanna 不是和京东云合作的，走的运营商或者二级的线路，cmi ，CBC tech 和 niaoyun 。

[woodchen]

涨见识了,主要还是购买 CF 服务附带的, 不然一般合规需要还是办个国际专线简单些.

[x86]

换我掏钱就 IEPL 了

[hackroad]

我给你做只要 60 块 1M ，架构比这个简单，方便。

[sickoo]

@ersic 明显国人

[sublimevsatom]

感谢分享，长见识了

[a2213108]

cloudfront 也有类似的服务，只不过没有 cloudflare 的结构这么丝滑

[obeykarma]

@ranaanna 革命小将

[ranaanna]

@obeykarma 不是革命小将。但是法律法规应该对任何人一视同仁，不应该你可以我不行。你开 vpn 可以，我开不行，这合理吗？

[jsq2627]

@yorkyoung > 其实你公司应该把服务切割购买，CF Zero Trust 和 跨境这一段。

本身 Zero Trust / VPN 就是面向 remote worker 的，网络环境不可控，不像 site 能在网关上做跨境分流。Warp 客户端又和目前任何其他代理软件都冲突（抢默认路由，监听 53 ），所以很难做到切割。

[Donaldo]

@ranaanna #3 哪有其他信道？走的全是三大运营商的 AS 。

[ranaanna]

@Donaldo 搞笑了，难道大家“非法”进行国际联网都建立或使用了“其他信道”？

[Donaldo]

@ranaanna #40 所以没人说你非法，别太搞笑。

[Yuanlaoer]

@ranaanna 你咋知道他没有跟联通和移动合作……难道他 DNS 是自己从美国搬来的服务器么……
以及，举报他们到底是对谁有好处……

[ranaanna]

@Yuanlaoer 那 ExpressVPN, Surfshark, NordVPN, Proton VPN, PIA, IPVanish, Mullvad 为什么“没有跟联通和移动合作”，这些还大多不是“邪恶的”美国公司。难道真的认为会去举报？只是吐槽一下 internet 诸多怪现象的一个而已

[Yuanlaoer]

@ranaanna 你的语义我理解且认同。
但我理解能力有限，不清楚你想表达什么……
以上没有任何感情色彩

[huihuilang]

@iijboom 人家公司有钱，买贵的又能怎么样了。。。有本事你当人家老板呗，什么冤不冤大头的

[Citrus]

@ranaanna 你看清楚，我说的是针对中国境内员工的特殊加速这段，你以为是啥。
不再回复了，感觉你根本就不清楚这个是啥。你认为是啥样就是啥样吧。

[S179276SP]

所以说这玩意就是为了解决其他国家开公司本身不存在的问题而设立的？

[destine]

看起来和微软的 global secure access 差不多

[yorkyoung]

我的方案也可以审计呀，只是把境外的 IP 入口移到了境内，是网络层的 @SenLief
做了转发后，你只要运行 warp-cli tunnel endpoint set <ip> 换成境内的 IP 就可以了 其他的都一样 @jsq2627

[SenLief]

@yorkyoung 这个专线入口就在国内额，出口是 cf 的。

[jsq2627]

@yorkyoung 如何解决鉴权问题呢？