Skip to content

GFW 大战 Cloudflare，以及积至公司推荐的火爆翻墙项目免费且速度很快 #23

Open
Open
GFW 大战 Cloudflare，以及积至公司推荐的火爆翻墙项目免费且速度很快#23
@RememberOurPromise

Description

@RememberOurPromise
RememberOurPromise
opened on Apr 3, 2026

去年准备发的，感觉影响大家白票CF的心情就没发，一直看到有不少油管频道推荐白票CF worker/pages，以及最近出现CF怀疑论，那还是发吧

里面有些过时或者错误，并不影响

另外，恭喜edgetunnel荣获2025年度最火爆翻墙项目奖 by GFW (geedge)

就是说GFW早把CF玩明白了，XD

来自积至（海南）信息技术有限公司（Geedge Networks Ltd.）产品，网络叙事者（Cyber Narrator）的文档

CDN_云厂商IP获取方式调研.html
Cloudflare接入方式调研.html
MASQUE特征.html
WARP行为特征.html
Warp阻断特征.html

Cloudflare接入方式调研

简介

Cloudflare向企业与个人用户，提供了多种接入Cloudflare边缘节点的方式，并利用云分发网络实现服务加速、零信任、威胁防护、无服务托管等业务。

由于不同业务功能的各类接入方式共享边缘节点，为了避免阻断某业务时的误伤，需对不同的接入方式进行细粒度分析。

接入方式

CDN

  • 原理：通过将DNS记录指向CDN，以HTTP/HTTPS标准协议接入Cloudflare的边缘节点，通过Host区分源站。
  • 业务：主要用于CDN加速、流量清洗等业务。
  • 传输协议：HTTP/HTTPS
  • 接入范围：所有边缘节点都可以接入

Cloudflare Workers \ Pages

  • 原理：Serverless代码云部署，全球接入。需要先注册cloudflare管理的域名，提交需要部署的代码，Cloudflare自动部署在云端，能够在全球各地的边缘节点通过SNI访问部署的服务。
  • 业务：网站无服务托管、翻墙代理（近期非常火爆的翻墙方式，免费且速度很快。 https://github.com/cmliu/edgetunnel?tab=readme-ov-file ）
  • 传输协议：HTTPS
  • 接入范围：所有边缘节点都可以接入
  • 催生了Cloudflare优选IP项目，为翻墙代理等自动寻找不同国家的网络质量最好的接入IP（ https://github.com/XIU2/CloudflareSpeedTest ）
  • 数据包：

Cloudflare Tunnel

  • 原理：在客户端和服务端分别安装Cloudflared软件，通过Cloudflare网络建立传输隧道。Cloudflared软件将流量（可为任意协议，如SSH）封装到HTTPS隧道发送到Cloudflare边缘节点，边缘节点根据SNI路由到指定服务器，服务器端的Cloudflared软件剥离隧道。
  • 业务：零信任网络、SASE
  • 传输协议：HTTPS
  • 接入范围：所有边缘节点都可以接入
  • 调研报告：
  • 数据包：

Cloudflare Warp

  • 原理：Cloudflare想通过Warp统一Client端接入Cloudflare边缘节点的方式
    • Warp基础功能：VPN加密流量，保护用户隐私，利用覆盖全世界的网络，接入并加速用户流量
    • Warp+：增加流量和节点覆盖范围
    • ZeroTrust：在Warp应用内，配置团队账户后，Warp就自动变身为ZeroTrust应用。除了基础功能外，能够为同一团队内的其他账户建立一个虚拟内网，提供统一的认证、权限管理、访问控制、流量清洗等功能。
  • 业务：VPN、ZeroTrust等
  • 传输协议：UDP私有协议
  • 接入范围：Warp(+)固定IP段与固定端口范围；ZeroTrust固定IP段与固定端口范围。二者不重叠

Cloudflare Spectrum

  • 原理：提供一些独立的IP，可以代理TCP和UDP协议的网络服务，并将其安全地连接到Cloudflare的全球网络中。可以帮助服务免受 DDoS 攻击和其他恶意流量的影响，同时提高服务的可用性和性能。Spectrum支持多种协议，包括HTTP、HTTPS、SSH、SMTP和RDP等，可以用于代理各种服务，如网站、游戏服务器、邮件服务器等。
  • 业务：非HTTP(S)协议代理
  • 传输协议：TCP、UDP
  • 接入范围：与公开的边缘节点不重合的独立IP
  • 调研报告：

初步结论

Warp基础版是提供个人流量加密隐私保护和VPN功能的，主要用于翻墙。而Warp基础版接入Cloudflare边缘节点的方式，与其他方式能够区分开来，通过协议、IP和端口范围即可，初步判断不会误伤其他商业用途（ZeroTrust等）的Cloudflare接入流量。

Psiphon利用CDN节点做Domain Fronting，大概率也不是通过标准CDN方式进行，而是通过类似Cloudflare Tunnel的方式，即HTTPS隧道内可能为任意协议，而不局限在HTTP。

WARP行为特征

行为特征

域名访问行为

  • zero-trust-client.cloudflareclient.com
  • engage.cloudflareclient.com
  • api.cloudflareclient.com
  • a.nel.cloudflare.com

通信行为

  • 会话特征：WARP 使用 UDP 进行所有通信。默认情况下，WARP 所需的 UDP 端口为 UDP 2408。失败则依次尝试采用UDP 500、UDP 1701 或 UDP 4500（抓包工具根据端口将对应流量识别为ESP、ISAKMP、L2TP协议，但数据包格式不符合协议标准）。
  • IP静态：
    • 经研发环境及E21现场拨测发现客户端在连接失败的情况下，不会切换其他IP地址。
    • 根据端口开放特征[2408、500、1701、4500]在E21现场查询，发现命中IP较少且集中，为162.159.192.2-10。且根据 官方文档 相关说明，基本可推测IP为静态特征。
    • 统计IP的1h全量日志，除承载上述4个端口的服务及相关域名的服务外，未发现其他HTTP、TLS、QUIC等常见服务，如 162.159.192.9_1.csv 。

封堵方案

基于Object封堵

（44.72环境）下发IP:port特征，封堵有效

基于流识别封堵

考虑到不同环境下节点和端口特征可能出现变化导致基于Object的封堵方案失效，尝试识别方案，对cloudflare节点上的意思Warp流量进行识别。

结合数据包内容分析，获得以下观测结论：

  • WARP可能采用不同的服务端端口进行通信，但UDP Payload模式固定。因此推测仅进行端口变换，封装手段不变。
  • 分析UDP Payload内容，格式与Wireguard协议基本一致。首字节取值为c1、c4（message_type），后续固定字节对应通信方标识及reserved字段，然后为8个字节长度的计数器。
  • 不同之处为message_type取值与标准格式取值不同。
  • 根据上述观察，基于flowmeter平台提取udp payload特征实现warp流量识别插件。

实验结果：
在xxg办公网流量环境下，客户端连接 warp 后大约 3-4s( 发送 200 包 ) 可以检测到对应的通信五元组，且监听流量持续一天未发现误报。
E21现场识别情况（1h）：会话数万分之1，流量千分之1

Warp阻断特征

4月29日特征分析

Warp服务端IP探测

Warp采用wireguard魔改协议（被动流量功能端识别不出来），在Cloudflare公开的边缘IP列表上（ https://www.cloudflare.com/zh-cn/ips/ ），探测协议开放情况。

150万个CF的IPv4地址中，约2000个可能作为Warp的服务端。开放IP段如下：

  • 162.159.192.0/24
  • 162.159.193.0/24
  • 162.159.195.0/24
  • 162.159.204.0/24
  • 188.114.96.0/24
  • 188.114.97.0/24
  • 188.114.98.0/24
  • 188.114.99.0/24
  • 2606:4700:d0::/48
  • 2606:4700:d1::/48

Warp实际使用的服务端IP

根据M现场测量情况，99.9%以上的流量都集中在10几个IP上，且阻断后不会切换到这些IP以外的其他IP，为尽量减少可能的Collateral Damage，warp与warp+的app特征仅配了这部分IP，能够达到很好的阻断效果。
特殊时期可以阻断所有上述IP的UDP流量

Warp的APP配置

App配置 协议 IP 端口
Warp UDP 2606:4700:d0::a29f:c002-2606:4700:d0::a29f:c00a
162.159.192.2-162.159.192.10		 500,2408,1701,4500
Warp+ UDP 2606:4700:d1::a29f:c002-2606:4700:d1::a29f:c00a
162.159.195.2-162.159.195.10
Warp All UDP 162.159.192.0/24
162.159.193.0/24
162.159.195.0/24
162.159.204.0/24
188.114.96.0/24
188.114.97.0/24
188.114.98.0/24
188.114.99.0/24
2606:4700:d0::/48
2606:4700:d1::/48		 非443端口

4月29日上线后流量分析与特征优化方案

Warp特征优化方案

Warp App和Warp+ App合并为一个App，可同时阻断免费和付费版Warp。
针对不同需求，共有两个特征方案：

  • 线上环境大范围生效时，按方案一配置特征，效果好的同时误F风险低
  • 演示环境下为保证阻断效果，可按方案二配置特征

方案一特征：

  • ip.dst（共40个IP）
    • 162.159.192.2-162.159.192.10
    • 162.159.195.2-162.159.195.10
    • 2606:4700:d0::a29f:c002-2606:4700:d0::a29f:c00a
    • 2606:4700:d1::a29f:c002-2606:4700:d1::a29f:c00a
  • ip.proto
    • UDP

方案二特征：

  • ip.dst（共约2000+个IPv4地址和2个IPv6地址段）
    • 162.159.192.0/24
    • 162.159.193.0/24
    • 162.159.195.0/24
    • 162.159.204.0/24
    • 188.114.96.0/24
    • 188.114.97.0/24
    • 188.114.98.0/24
    • 188.114.99.0/24
    • 2606:4700:d0::/48
    • 2606:4700:d1::/48
  • ip.proto
    • UDP
  • dstport != 443

特征&流量分析

统计时间范围：Asia/Yangon 2024-04-29 12:00:00 to 2024-04-29 14:00:00

方案 会话数 流量
方案1 39,866,660 387.067 TB
方案2 39,899,988 387.404 TB

解读

1）方案1的命中会话数占方案2命中会话数的99.92%，流量占99.91%。可见方案1的40个IP就能够覆盖99.9%以上的Warp流量。
2）方案2较方案1多命中的3w会话中，99.6%以上为BASE流量，通过端口等推测大部分为Warp流量。其余0.4%为QUIC（误命中），会话数为106，可通过设置端口条件（not 443）对这部分会话进行保护。
3）QUIC会话对应的服务端IP分布在188.114.96.0/24和188.114.97.0/24两个IP段，且占比较少，其余IP段均未出现QUIC流量。

MASQUE特征

说明

MASQUE，Media Application Substrate for QUIC Encryption，是Cloudflare从2023年6月开始开发的WARP新协议，它使用并扩展了 HTTP/3 和 QUIC，通过QUIC协议提供更快、更隐蔽的连接。

Warp 最初选择 WireGuard 协议，主要考虑其简单性和高效的加密隧道能力。然而WireGuard 也存在一些局限性，例如协议设计较为僵化，不易扩展，使用特定的加密算法，没有完全遵循现有加密标准中的灵活性和扩展性要求。Cloudflare Radar团队数据显示，虽然HTTP/2 仍然是目前互联网流量的主流协议，但 HTTP/3 正在迅速增长（2023 年 6 月的数据表明其占据了 28% 的市场份额）。因此Cloudflare推出MASQUE，以更好地支持 UDP 流量和 HTTP/3。

2024年9月发布的warp-ios 6.24版本中，客户端开始支持MASQUE协议。

优势：

  • 使用通过443端口连接，支持 TCP 和 UDP 流量，相比WireGuard降低了被阻断的风险
  • 良好的扩展性，支持基于未来协议扩展的功能优化，比如Multipath QUIC，解决网络切换导致的服务中断，优化服务体验

现象

  • 抓包现象：quic协议，sni固定。但xxg环境部分会话无法解析出sni， 待确认
  • server fqdn = consumer-masque.cloudflareclient.com
  • 会话量一小时14w，均为quic协议
  • 会话集中于162.159.198.1和2606:4700:103::1两个IP，会话数超过98%
  • 端口集中分布在443和8443，占比超过98%
  • server_ip in ('162.159.198.1' , '2606:4700:103::1')
  • 95%以上会话为quic协议：decoded_as字段QUIC占比约为61%，BASE 35%，其余为SSL；其中85%以上BASE会话的app_transition被标记为quic
  • 相关SNI除consumer-masque.cloudflareclient.com外，还有engage.cloudflareclient.com（<3%），未发现与warp无关的域名

方案

  • 基于sni特征。确认SNI解析问题，确认基于域名的阻断效果；
  • 基于quic/http3 + ip组合特征

参考

CDN/云厂商IP获取方式调研

云/CDN厂商提供：

第三方服务提供：

博客/网站情报：

Metadata

Metadata

Assignees

No one assigned

    Labels

    No labels
    No labels

    Type

    No type

    Projects

    No projects

    Milestone

    No milestone

    Relationships

    None yet

    Development

    No branches or pull requests

    Issue actions