Cloudflare WARP num VPS Linux com warp-cli e wgcf

O Cloudflare WARP dá ao seu servidor um endereço de saída da Cloudflare, útil para alcançar recursos apenas IPv6 ou mudar o IP de saída aparente. Numa máquina remota, a armadilha clássica é que o modo WARP padrão sequestra a tabela de rotas e corta a sua sessão SSH. Este guia mostra dois métodos seguros num VPS Linux Infrawire: o cliente oficial em modo proxy e o wgcf com WireGuard e roteamento parcial.

📋 Pré-requisitos

Um VPS com Ubuntu 24.04 ou Debian 12 e acesso SSH root (na sua área de cliente encontra o IP e a senha root do VPS).
O IP público do seu VPS anotado à parte (VPS_IP).
Uma forma de abrir o console do VPS caso uma alteração de rede o deixe de fora.
Os pacotes curl, gpg e lsb-release instalados.

📦 Instalar o cliente oficial

Adicione o repositório da Cloudflare e instale o pacote:

Bash
1apt update && apt install -y curl gpg lsb-release
2curl -fsSL https://pkg.cloudflareclient.com/pubkey.gpg | gpg --yes --dearmor --output /usr/share/keyrings/cloudflare-warp-archive-keyring.gpg
3echo "deb [signed-by=/usr/share/keyrings/cloudflare-warp-archive-keyring.gpg] https://pkg.cloudflareclient.com/ $(lsb_release -cs) main" > /etc/apt/sources.list.d/cloudflare-client.list
4apt update && apt install -y cloudflare-warp
5systemctl enable --now warp-svc

🛡️ Modo proxy: manter o SSH vivo

No modo proxy, o WARP não mexe na tabela de rotas. Apenas abre uma porta SOCKS5 local que você usa quando precisar. Defina o modo antes de conectar, nunca o contrário.

Bash
1warp-cli --accept-tos registration new
2warp-cli mode proxy
3warp-cli proxy port 40000
4warp-cli connect
5warp-cli status

O proxy escuta apenas em 127.0.0.1:40000. Para enviar um comando por ele:

Bash
1curl -x socks5h://127.0.0.1:40000 https://www.cloudflare.com/cdn-cgi/trace

O esquema socks5h é importante: faz a resolução DNS também passar pelo proxy. Para parar, execute warp-cli disconnect.

🔀 Alternativa: wgcf e WireGuard

Se preferir uma interface WireGuard do kernel, o wgcf cria uma conta WARP e gera uma configuração padrão. Baixe a versão do wgcf correspondente à sua arquitetura na página de releases do GitHub do projeto e depois:

Bash
1apt install -y wireguard-tools
2chmod +x wgcf_linux_amd64 && mv wgcf_linux_amd64 /usr/local/bin/wgcf
3cd /root && wgcf register && wgcf generate
4cp wgcf-profile.conf /etc/wireguard/wgcf.conf

Ainda não o inicie: o perfil gerado encaminha tudo pelo túnel e cortaria o SSH.

✂️ Roteamento parcial e apenas IPv6

Edite /etc/wireguard/wgcf.conf. Para enviar só o tráfego IPv6 pelo WARP e deixar o IPv4 (e a sua sessão SSH) intacto, restrinja AllowedIPs, remova a linha DNS e reduza a MTU:

INI
1[Interface]
2MTU = 1280
3PostUp = ip rule add from VPS_IP lookup main
4PostDown = ip rule del from VPS_IP lookup main
5
6[Peer]
7AllowedIPs = ::/0
8Endpoint = engage.cloudflareclient.com:2408

Mantenha as linhas de chaves e Address produzidas pelo wgcf. O par de ip rule garante que as respostas de VPS_IP usem sempre a tabela principal, protegendo as conexões de entrada. Se você só se conecta por IPv4, mais tarde pode trocar ::/0 por 0.0.0.0/0, ::/0 para tunelar tudo. Ative a interface:

Bash
1systemctl enable --now wg-quick@wgcf

✅ Verificação

Confirme que o WARP está ativo no caminho certo:

Bash
1curl -s https://www.cloudflare.com/cdn-cgi/trace | grep warp
2curl -6 -s https://www.cloudflare.com/cdn-cgi/trace | grep -E 'ip=|warp='
3wg show wgcf

warp=on na requisição IPv6, junto com um handshake recente em wg show, indica que o túnel funciona. A requisição IPv4 simples deve continuar mostrando warp=off.

🛠️ Solução de problemas

Acesso SSH perdido logo após conectar. O WARP estava em modo de túnel completo. Abra o console do VPS e execute warp-cli disconnect (ou systemctl stop wg-quick@wgcf), depois mude para warp-cli mode proxy antes de reconectar. Se acede ao servidor por IPv6, não use ::/0 em AllowedIPs.

O DNS deixa de resolver. O wg-quick reescreve o resolvedor quando existe uma linha DNS. Remova essa linha do perfil ou use o proxy socks5h para que a resolução ocorra do lado da Cloudflare.

Páginas grandes travam ou o TLS emperra. Quase sempre é um problema de MTU. Mantenha MTU = 1280 no perfil WireGuard e teste com ping -M do -s 1200 1.1.1.1.

🎉 O seu VPS já pode usar o Cloudflare WARP quando precisar, sem nunca cortar a sua sessão SSH.