Linux VPS'te warp-cli ve wgcf ile Cloudflare WARP

Cloudflare WARP, sunucunuza bir Cloudflare çıkış adresi verir; yalnızca IPv6 üzerinden erişilen kaynaklara ulaşmak veya görünen çıkış IP'sini değiştirmek için kullanışlıdır. Uzak bir makinede klasik tuzak, varsayılan WARP modunun yönlendirme tablosunu ele geçirip SSH oturumunuzu kesmesidir. Bu rehber, bir VPS Linux Infrawire üzerinde iki güvenli yöntemi gösterir: proxy modunda resmi istemci ve WireGuard ile kısmi yönlendirme kullanan wgcf.

📋 Ön koşullar

Ubuntu 24.04 veya Debian 12 çalıştıran, root SSH erişimi olan bir VPS (müşteri alanınızdan VPS'in IP adresini ve root parolasını bulabilirsiniz).
VPS'inizin genel IP adresini ayrıca not edin (VPS_IP).
Bir ağ değişikliği sizi dışarıda bırakırsa VPS konsoluna erişmenin bir yolu.
curl, gpg ve lsb-release paketlerinin kurulu olması.

📦 Resmi istemciyi kurma

Cloudflare deposunu ekleyin ve paketi kurun:

Bash
1apt update && apt install -y curl gpg lsb-release
2curl -fsSL https://pkg.cloudflareclient.com/pubkey.gpg | gpg --yes --dearmor --output /usr/share/keyrings/cloudflare-warp-archive-keyring.gpg
3echo "deb [signed-by=/usr/share/keyrings/cloudflare-warp-archive-keyring.gpg] https://pkg.cloudflareclient.com/ $(lsb_release -cs) main" > /etc/apt/sources.list.d/cloudflare-client.list
4apt update && apt install -y cloudflare-warp
5systemctl enable --now warp-svc

🛡️ Proxy modu: SSH'i ayakta tutun

Proxy modunda WARP yönlendirme tablosuna dokunmaz. Yalnızca ihtiyaç duyduğunuzda kullandığınız yerel bir SOCKS5 portu açar. Bağlanmadan önce modu ayarlayın, asla tersini yapmayın.

Bash
1warp-cli --accept-tos registration new
2warp-cli mode proxy
3warp-cli proxy port 40000
4warp-cli connect
5warp-cli status

Proxy yalnızca 127.0.0.1:40000 adresinde dinler. Bir komutu bunun üzerinden göndermek için:

Bash
1curl -x socks5h://127.0.0.1:40000 https://www.cloudflare.com/cdn-cgi/trace

socks5h şeması önemlidir: DNS çözümlemesinin de proxy üzerinden yapılmasını sağlar. Durdurmak için warp-cli disconnect komutunu çalıştırın.

🔀 Alternatif: wgcf ve WireGuard

Çekirdek düzeyinde bir WireGuard arayüzü tercih ederseniz, wgcf bir WARP hesabı oluşturur ve standart bir yapılandırma üretir. Mimarinize uygun wgcf sürümünü projenin GitHub sürümler sayfasından indirin, ardından:

Bash
1apt install -y wireguard-tools
2chmod +x wgcf_linux_amd64 && mv wgcf_linux_amd64 /usr/local/bin/wgcf
3cd /root && wgcf register && wgcf generate
4cp wgcf-profile.conf /etc/wireguard/wgcf.conf

Henüz başlatmayın: üretilen profil her şeyi tünelden geçirir ve SSH'i keser.

✂️ Kısmi yönlendirme ve yalnızca IPv6

/etc/wireguard/wgcf.conf dosyasını düzenleyin. Yalnızca IPv6 trafiğini WARP'tan geçirip IPv4'e (ve SSH oturumunuza) dokunmamak için AllowedIPs değerini daraltın, DNS satırını silin ve MTU'yu düşürün:

INI
1[Interface]
2MTU = 1280
3PostUp = ip rule add from VPS_IP lookup main
4PostDown = ip rule del from VPS_IP lookup main
5
6[Peer]
7AllowedIPs = ::/0
8Endpoint = engage.cloudflareclient.com:2408

wgcf'nin ürettiği anahtar ve Address satırlarını koruyun. ip rule çifti, VPS_IP adresinden çıkan yanıtların her zaman ana tabloyu kullanmasını sağlar; bu da gelen bağlantıları korur. Yalnızca IPv4 ile bağlanıyorsanız, her şeyi tünellemek için ileride ::/0 yerine 0.0.0.0/0, ::/0 yazabilirsiniz. Arayüzü etkinleştirin:

Bash
1systemctl enable --now wg-quick@wgcf

✅ Doğrulama

WARP'ın doğru yolda etkin olduğunu kontrol edin:

Bash
1curl -s https://www.cloudflare.com/cdn-cgi/trace | grep warp
2curl -6 -s https://www.cloudflare.com/cdn-cgi/trace | grep -E 'ip=|warp='
3wg show wgcf

IPv6 isteğinde warp=on görünmesi ve wg show içinde yakın zamanlı bir handshake bulunması tünelin çalıştığını gösterir. Düz IPv4 isteği hâlâ warp=off göstermelidir.

🛠️ Sorun giderme

Bağlanır bağlanmaz SSH erişimi kayboldu. WARP tam tünel modundaydı. VPS konsolunu açıp warp-cli disconnect (veya systemctl stop wg-quick@wgcf) çalıştırın, yeniden bağlanmadan önce warp-cli mode proxy moduna geçin. Sunucuya IPv6 ile bağlanıyorsanız AllowedIPs içinde ::/0 kullanmayın.

DNS çözümlemesi durdu. DNS satırı varsa wg-quick çözümleyiciyi yeniden yazar. Bu satırı profilden silin veya çözümlemenin Cloudflare tarafında yapılması için socks5h proxy'sini kullanın.

Büyük sayfalar takılıyor veya TLS duruyor. Neredeyse her zaman MTU sorunudur. WireGuard profilinde MTU = 1280 değerini koruyun ve ping -M do -s 1200 1.1.1.1 ile test edin.

🎉 VPS'iniz artık SSH oturumunuzu hiç kesmeden, gerektiğinde Cloudflare WARP kullanabilir.