Cloudflare WARP是什么？

WARP是Cloudflare在1.1.1.1应用里提供的免费加密隧道。它把你的DNS查询和上网流量加密后经Cloudflare网络转发，目的是防止运营商窥探和DNS污染。Cloudflare官方文档明确写明：WARP不提供匿名性，也不能让你假装从另一个国家上网——它不是为翻墙设计的。

WARP用的还是WireGuard协议吗？

不一定了。Cloudflare在2024年底宣布MASQUE（基于HTTP/3和QUIC，走UDP 443端口）已支持1.1.1.1与WARP的全部平台，并开始作为优先协议取代WireGuard。你可以在应用的"设置→高级→连接选项→隧道协议"里手动切换Auto／MASQUE／WireGuard，这也是连不上时值得先试的一步。

WARP和WARP+有什么区别？要不要付费？

两者的加密和隐私保护完全一样，WARP+买到的是"更大的网络、更多可连接城市"，官方应用内价格为每月4.99美元。但在中国大陆，付费不解决连不上的问题。完整的付费决策请看《WARP+值不值得买》。

WARP安全吗？会不会被查？

WARP本身由Cloudflare运营，使用现代加密，客户端从官方渠道下载是安全的。真正的风险来自第三方：所谓的"免费WARP+密钥"、密钥生成器、来路不明的"WARP加速器"安装包，这些才是恶意软件和账号被封的主要来源。

Analysis Report

Cloudflare WARP在中国能用吗？2026年9月现状、安装步骤与连不上排错

Q: Cloudflare WARP在中国能用吗？

不稳定，不能当作日常翻墙工具。WARP在中国大陆的连通性长期处于"时好时坏"的状态：不同省份、不同运营商、不同时段结果都不一样，社区反馈也彼此矛盾。最可靠的做法是自己花五分钟实测一次，本文给出了具体的自测步骤。

先说结论

如果你是搜「cloudflare warp」「warp 是什么」「cloudflare 国内能用吗」进来的，这里是最短的答案：

WARP 是什么：Cloudflare 免费的 1.1.1.1 应用里的加密隧道功能。它加密你的 DNS 和上网流量，走 Cloudflare 的网络中转。免费、不用注册、装上就能开。
它不是 VPN，也不是匿名工具。Cloudflare 自己的文档写得很直白：WARP 不提供匿名性，也不能让你装作从别的国家上网。它不能选出口国家，不能解锁奈飞，不是为绕过审查设计的。
在中国大陆能不能用：不稳定。不同运营商、不同省份、不同时段结果完全不同，社区反馈互相矛盾。它不能当作你唯一的跨境上网方案——但花五分钟自己测一次是值得的，因为这是唯一可信的答案。跳到自测步骤 ↓
一个很多文章还没更新的变化：WARP 已经不只是 WireGuard 了。Cloudflare 在 2024 年 12 月宣布 MASQUE 协议（基于 HTTP/3 / QUIC，走 UDP 443 端口）已覆盖 1.1.1.1 与 WARP 的全部平台，并作为优先协议逐步取代 WireGuard。如果你按老教程判断"WARP 因为 WireGuard 特征必然被封"，这个前提已经过时了。
官方下载只有一个地方：one.one.one.one（iOS、Android、Windows、macOS、Linux）。第三方"WARP 加速器"“WARP 破解版"安装包不要碰。
要不要买 WARP+：这是另一个问题，我们单独写了一篇——里面也回答了「warp+密钥」「免费白嫖 WARP+」到底行不行。

本页负责：WARP 是什么、在中国能不能连、怎么装、连不上怎么办。付费决策（免费版够不够、多少钱、密钥能不能用、值不值）请看 WARP+ 完全指南：值不值得买。

WARP 是什么，以及它明确不做什么

WARP 是 Cloudflare 1.1.1.1 应用里的一个开关。打开之后，你设备上的流量会被加密并送到离你最近的 Cloudflare 边缘节点，再由 Cloudflare 的网络转发出去；DNS 查询则强制走 Cloudflare 的 1.1.1.1 解析器。

它做的事：

加密你和 Cloudflare 节点之间的全部流量，让运营商看不到你在访问什么
加密 DNS 查询，规避最常见的 DNS 污染与劫持
在某些线路上改善路由质量（这是它最初的卖点：让手机上网更快）

它明确不做的事（Cloudflare 官方文档原话是"WARP does not provide anonymity”）：

不隐藏你的 IP：对你访问的网站来说，你不是匿名的
不能切换国家：没有"选择服务器所在地"这个功能，所以也解锁不了地区限制的流媒体
不是抗审查工具：Cloudflare 从未把 WARP 定位成翻墙软件，也没有为此做流量伪装

这一点值得多说一句，因为它决定了后面所有的结论。很多人把 WARP 当成"大厂出的免费 VPN"，然后困惑于"为什么它这么不稳定"。真实的情况是：它从设计目标上就不是那个东西。如果你想要的是"看起来像普通 HTTPS 流量、能换出口国家、被封了能立刻换节点"，那需要的是专门为抗审查设计的协议，而不是 WARP。

另一个容易混淆的产品是苹果的 iCloud 私人代理，它和 WARP 属于同一类"隐私增强层"而非 VPN，我们在这篇做过对比。

2026 年 9 月：WARP 在中国大陆到底能不能连

先说诚实的部分：这个问题没有一个全国统一的答案，而且公开报告互相矛盾。

我们能核实的事实是这些：

1. WARP 的协议底座换了。 2024 年 3 月，Cloudflare 公开说明它为 WARP 引入 MASQUE 的原因之一，就是"全球大约 7000 家 ISP 会屏蔽 WireGuard 端口，有些还是故意屏蔽的"。MASQUE 基于 HTTP/3 和 QUIC，走 UDP 443 端口——和普通网页浏览用的端口一样。2024 年 12 月，Cloudflare 宣布 MASQUE 已支持 1.1.1.1 与 WARP 的全部平台（iOS、Android、macOS、Windows、Linux），并开始作为优先协议取代 WireGuard。

2. 这确实在中国造成过"复活"窗口。 2024 年 9 月 MASQUE 刚推送时，国内社区普遍报告 WARP 短暂可用；但同一批观察者在几天后就报告又连不上了。2025 年中再次出现过"又能用了"的讨论。这个模式在过去两年反复出现：新协议或新端点推出 → 短暂可用 → 逐渐失效。

3. 到 2026 年 9 月，公开反馈仍然是分裂的。 有用户报告 MASQUE 模式在特定运营商、特定时段可以连上；也有大量反馈是完全连不上。Cloudflare 社区里关于"WARP 在中国大陆不可用"的求助帖持续存在，且官方没有给出面向个人用户的解决方案。

4. Cloudflare 官方在中国的方案只面向企业。 Cloudflare 有一套走中国合作伙伴网络的 Cloudflare One 方案，但那是给跨国企业的商业服务，需要联系销售、走企业合同，和免费的 1.1.1.1 应用完全是两回事。个人用户不要指望"官方中国节点"。

我们不再给出诸如"成功率 18%“这类精确数字。 这类数字需要长期、多地、可复现的持续测量才有意义，任何一次短期抽样都会因为省份、运营商、时段、协议模式的不同而失真——而且它明天就可能不成立。对你真正有用的不是我们某一天在某个城市的结果，是你自己这条线现在的结果。

关于 GFW 为什么能识别各类隧道流量、以及它的封锁是怎么分层的，我们在《GFW 检测技术分析》里有系统的讲解。

五分钟自测：你这条线现在能不能用 WARP

这是全文最该照做的一段。按顺序执行，你会得到一个明确的答案。

第 0 步：记录基线。 先不开 WARP，打开 IP 归属地检测工具，记下当前 IP 和归属地；再打开 DNS 泄露检测，记下你现在用的 DNS 服务器。这是对照组——没有基线，后面测出什么都说明不了问题。

第 1 步：装上官方客户端并连接。 从 one.one.one.one 下载对应平台的应用（各平台详细步骤见下一节），打开 WARP 开关。

第 2 步：看它到底连上了没有。 客户端显示"已连接"不等于真的通了。回到 IP 归属地检测刷新：

IP 变成了 Cloudflare 的地址（归属地通常显示为境外，常见是香港、新加坡、日本）→ 隧道建立了
IP 还是你原来的运营商 IP → 没有真正生效，哪怕客户端写着"已连接”

第 3 步：确认 DNS 也走了进去。 打开 DNS 泄露检测。正常情况下应该只看到 Cloudflare 的解析器；如果还能看到你本地运营商的 DNS，说明存在 DNS 泄露，隐私保护是不完整的。浏览器场景再顺手跑一次 WebRTC 泄露检测。

第 4 步：测它能不能撑住。 用中国线路测速工具跑一次，然后让它连着放 30 分钟再回来看。WARP 在国内最典型的失败模式不是连不上，是"连上了几分钟就断"。只测握手不测持续性，等于没测。

第 5 步：换时段、换网络再测一次。 同一条线在晚高峰和凌晨的结果可能完全不同；手机蜂窝网络和家里宽带的结果也可能不同。测一次得到的是一个点，测三次才是一条线。

把这五步的结果写下来，你就有了一个属于你自己网络的、可信的答案——比任何一篇文章（包括这一篇）给你的平均数字都有用。

各平台安装步骤

官方下载入口只有 one.one.one.one 一个（以及各官方应用商店）。不要从第三方站点下载"WARP 加速器"“WARP 破解版"“WARP 无限流量版”——这类安装包是国内用户遇到恶意软件的高发渠道，我们在《免费 VPN 的真实风险》里整理过这类套路。

Android

在 Google Play 搜索并安装 1.1.1.1 + WARP（无法访问 Play 时，从 one.one.one.one 获取官方安装包，不要用第三方镜像站）
打开应用，按提示安装 VPN 配置文件（系统会弹出授权框，这是正常的）
把主界面的开关切到 Connected
如果连不上：设置 → 高级 → 连接选项 → 隧道协议，依次试 Auto / MASQUE / WireGuard（菜单文案随版本略有差异）
按上一节的第 2～4 步验证

iOS / iPadOS

App Store 搜索 1.1.1.1: Faster Internet 安装
首次打开会请求添加 VPN 配置，允许
打开 WARP 开关
切换协议的位置：设置（更多）→ 高级 → 连接选项 → 隧道协议 → MASQUE
验证同上

Windows

从 one.one.one.one 下载 Windows 版安装包并安装
托盘图标点开，把开关打开
首次连接可能需要允许防火墙规则
协议切换在 Preferences / 设置 → Advanced → Connection options
验证同上

macOS

从 one.one.one.one 下载 macOS 版
安装后在菜单栏图标打开开关，按提示允许系统扩展与 VPN 配置
协议切换位置同 Windows
验证同上

Linux

Cloudflare 提供官方的 Linux 客户端（命令行 warp-cli，通过官方软件源安装）。基本流程是注册、连接、查看状态三步：

warp-cli registration new   # 首次注册
warp-cli connect            # 连接
warp-cli status             # 查看状态

装好之后同样用 IP 检测和 DNS 泄露检测验证，不要只看 status 的输出。

三种模式选哪个

客户端里除了完整的 WARP 之外，还有只加密 DNS 的 DNS only 模式。这个模式值得单独说：

如果你的真实需求只是"别让运营商污染我的 DNS”，DNS only 模式或者直接配置 DoH/DoT 加密 DNS 往往比开完整 WARP 更稳、更省电。 因为它走的是 443 端口上的标准 HTTPS 流量，和普通网页浏览没有区别，不需要建立一条完整隧道。很多人开 WARP 其实只是为了解决打不开网站的问题，而那个问题的根因常常是 DNS，不是别的。

连不上怎么办：排错清单

搜「cloud flare warp 不能用了」「warp 还能用吗」进来的读者，从这里开始。按顺序排查，前面的成本低、见效快：

1. 换隧道协议。 这是 2026 年最该先试、也最容易被老教程漏掉的一步。在 设置 → 高级 → 连接选项 → 隧道协议 里，Auto、MASQUE、WireGuard 各试一遍，每次切换后重连并用 IP 检测确认。MASQUE 走 UDP 443，和 WireGuard 的特征完全不同，两者被干扰的情况也不一样。

2. 换网络环境。 宽带连不上就试手机热点，反之亦然。中国三家运营商的国际出口策略不同，同一时刻的结果经常不一样。这一步能立刻告诉你问题是出在你的宽带线路上，还是普遍现象。

3. 换时段。 如果你只在晚高峰试过，那你只测了最差的那个时段。凌晨再试一次。

4. 检查本地是否有冲突。 另一个 VPN／代理客户端还开着、系统代理没关、虚拟网卡残留——这些都会让 WARP 显示"已连接"却不通。把其他网络工具全部退出再试。

5. 重置客户端。 删除 VPN 配置文件、卸载、重装、重新注册。WARP 的设备注册信息损坏时会出现"能连上但完全没有流量"的状态，重置是最快的解法。

6. 检查是不是只有部分网站不通。 如果 IP 检测显示已经是 Cloudflare 的出口 IP，只是某些服务打不开，那问题就不在 WARP 的连通性上了——而是目标服务本身对 Cloudflare 的出口 IP 段有限制（相当多服务会对数据中心 IP 做风控）。这种情况换协议、换时段都没用。

7. 承认它这条线就是不通。 如果上面六步都试过仍然连不上，那不是你操作的问题。WARP 在中国的可用性本来就是断续的，而且用户无法为它添加任何伪装——协议和服务端都在 Cloudflare 手里，你只能控制客户端。这时候该做的是换方案，而不是继续折腾它。

关于第三方"优选 IP"“WARP 一键脚本”：社区确实有扫描可用 Cloudflare 端点的工具，也有 MASQUE 协议的开源重实现。但这些工具解决不了结构性问题：能用的端点生命周期很短，而且这类脚本正是"免费密钥"灰产的主要载体。如果你要用，先搞清楚你运行的是什么代码；我们在 WARP+ 那篇里详细说明了密钥和脚本的风险。

WARP 安全吗？合法吗？

客户端本身是安全的。 它由 Cloudflare 运营，使用现代加密（MASQUE 隧道上的流量还启用了后量子加密，用于防范"先抓取后解密"）。Cloudflare 在隐私文档中声明，它收集有限的 DNS 查询与流量数据（不含内容），并且"不会用这些数据来识别你是谁、或你在互联网上做什么"。

真正的风险不在 Cloudflare，在第三方。 国内用户围绕 WARP 遇到的安全问题，几乎全部来自这三类：

第三方站点下载的"WARP 加速器"“破解版"“无限流量版"安装包
声称能生成免费 WARP+ 密钥的脚本和网站
Telegram 群里流传的"公用密钥”

这三类的详细风险分析放在 WARP+ 那篇，因为它们本质上是同一个问题：试图绕过付费，结果把设备和账号交了出去。

合法性：WARP 是 Cloudflare 公开提供的商业产品，产品本身不存在合法性问题。但在中国大陆，任何跨境网络工具的使用都受相关法规约束，请自行判断并对自己的使用行为负责。本站提供的是技术事实，不构成法律建议。

延伸阅读：相关法规的原文逐条怎么写、公开可查的处罚与司法案例是什么、哪些事公开资料里根本查不到（包括「有没有任何文件点名过具体产品」）——见《「用 VPN 到底违不违法」：法条原文怎么写，公开案例怎么判》。

连不上时的替代路线

按你的真实需求选，不要默认"WARP 不行就找另一个免费 VPN”——那条路的风险远高于收益。

只是想解决 DNS 污染 → 直接配置 DoH / DoT 加密 DNS。走 443 端口、和普通 HTTPS 没区别、不需要客户端常驻，比 WARP 稳得多。这是大多数"某个网站打不开"问题的正确答案。

喜欢 WireGuard 的性能，想自己搭 → 原生 WireGuard 的握手特征很容易被识别，自建时需要加一层伪装（wstunnel、udp2raw，或改过协议特征的 AmneziaWG 分支）。协议取舍见《WireGuard 与 OpenVPN 对比》。

需要每天都稳的跨境访问 → 需要的是具备流量伪装、能快速换节点的方案，而不是通用加密工具。协议层面的差别见《Shadowsocks / V2Ray / Trojan 对比》，客户端配置见 Clash 使用教程。

在挑选服务，不知道好坏 → 先看《怎么判断一个跨境线路的质量》，再用泄露检测工具验证它有没有把你卖了。

正在考虑"免费"方案 → 先读《免费 VPN 的真实风险》和《不可信免费工具的代价》。免费工具的成本通常不写在价格上。

常见问题