IP 脏了总被 Cloudflare 跳盾？试试用 WARP 救场

最近在折腾小服务器的时候，遇到了一个让人头秃的问题：手头几台便宜的 VPS，IP 不知怎么就被搞“脏”了。

Cloudflare 403 错误页面示意图，展示被拦截时的验证提示。

图：当 IP 被列入黑名单时，访问受保护的网站会直接看到 403 错误或验证码。

什么叫 IP 脏？

简单说，就是这个 IP 地址被 Cloudflare 列入了“黑名单”或者信用度极低。只要你用这台服务器去访问任何开启了 Cloudflare 保护的网站（哪怕只是一个简单的 API 请求），对方防火墙就会像被踩了尾巴一样，立马弹出一个“正在检查您的浏览器”的五秒盾，甚至直接拦截。

对于建站来说，这简直是灾难。比如你想用这台机器上的 WordPress 去更新个插件，或者 Python 脚本想爬个数据，全都会被拦死，根本无法自动化运行。

这时候，我突然想到了一个经常被“科学上网”玩家挂在嘴边的神器：Cloudflare WARP。

众所周知，WARP 是 Cloudflare 自家的 VPN 工具，很多朋友用它来优化网络线路，解决某些地区访问不到 Google 服务的问题。它的核心原理是将你的流量通过加密隧道送到 Cloudflare 的边缘节点，再由 Cloudflare 的“干净 IP”替你去访问互联网。

逻辑闭环了！！！

既然出站流量变成了 Cloudflare 的节点 IP，那我本地 VPS 那个“脏 IP”岂不是就被完美隐藏了？对方网站看到的请求来源，就变成了 Cloudflare 健康的边缘节点 IP，自然就不会触发验证码了。

网络流量路由示意图，展示部分流量走 VPN 隧道而其余流量直连的分流原理。

图：通过配置分流规则，仅让特定请求走 WARP 隧道，实现网络流量的精细化控制。

这不仅仅是个脑洞，经过实测，这种方式在大多数情况下确实有效。下面我把具体的操作思路理一下，供大家参考。

无论你是用 Debian/Ubuntu 还是 CentOS，Cloudflare 都提供了官方的安装包。一般来说，两行命令就能搞定（为了不涉及具体版本号变动，建议大家去官方 Repo 找最新的安装指令）。

如果是 Docker 玩家，也有现成的 WARP-Socks5 镜像可用，这样更灵活，不用在宿主机上装太多杂七杂八的依赖。

安装好之后，不要直接全局开启 WARP。如果你开启全局代理，确实解决了“脏 IP”的问题，但你整台机器的流量都走了隧道，访问国内网站会变慢，甚至可能因为 WARP 路由问题连不上 SSH。

我们需要的是分流。

方案 A：使用 Socks5 代理（推荐） 配置 WARP 开启 Socks5 代理模式（比如监听在 40000 端口）。然后在你的程序（Curl、Python Requests、浏览器等）里，指定代理地址为 127.0.0.1:40000。这样，只有主动走代理的流量才会去洗白 IP，其他系统流量保持原样。
方案 B：IP 路由表分流 如果你懂得操作 ip route 或 iptables，可以写规则，设定只有去往 Cloudflare IP 段（或者特定被墙目标的 IP）的流量，才走 WARP 的网卡接口（通常是 wg0 或 CloudflareWARP）。

有些程序不支持 Socks5，只支持 HTTP 代理。这时候可以用 privoxy 或 3proxy 把 Socks5 转换一下。虽然多了一层转发，但对于解决验证码问题来说，这点延迟通常可以忽略不计。

配置好之后，你可以直接 curl 一个开启 CF 保护的网站看看。

不过，也有几个坑得提醒大家：

并非万能药： 如果你的 VPS IP 脏到了极点（比如被列入了严重的 Spam 列表），Cloudflare 的 WARP 入口节点可能会限制连接频率，甚至拒绝连接。
免费版限制： WARP 免费版虽然不限流量，但对于高并发吞吐或者 P2P 流量有限制。如果你的业务是大数据量传输，可能会遇到限速，这是解救 IP 脏的一个副作用。
IP 归属地问题： 因为流量出口在 Cloudflare 节点，对方网站看到的 IP 地理位置可能是随机的（比如你人在亚洲，出口 IP 却在美洲）。如果对方服务有强区域限制（比如必须是国内 IP），这招就不灵了。

当你手里只有几台“烂 IP”的小鸡，又不想花钱换新 IP 时，利用 WARP 做出站流量的“清洗”是一个非常低成本、高性价比的方案。它本质上是用你的带宽换取了 Cloudflare 的“信用背书”。

对于个人博客的维护、爬虫脚本的重启，或者仅仅是 SSH 出去查个资料，这招能救不少急。赶紧去试试吧！