Cloudflare WARP и Marzban могут использоваться совместно для организации дополнительного выходного маршрута на прокси-сервере. Пользователь подключается к серверу под управлением Marzban, после чего выбранный трафик направляется в сеть Cloudflare через WARP.
В этой архитектуре Marzban управляет прокси-инфраструктурой, Xray обрабатывает соединения, а WARP предоставляет один из способов выхода в интернет.
Что такое Marzban
Marzban является открытой панелью управления, построенной вокруг Xray-core. Она позволяет управлять пользователями, ограничениями трафика, сроками действия доступа и клиентскими конфигурациями.
Панель и сетевое ядро выполняют разные задачи. Marzban предоставляет административный интерфейс, тогда как Xray непосредственно принимает подключения и пересылает данные.
Поэтому выражение «трафик проходит через Marzban» обычно обозначает серверную инфраструктуру под управлением панели, а не передачу пользовательских пакетов через её веб-интерфейс.
Что такое WARP
WARP является сервисом Cloudflare для передачи трафика через её сеть. Он отличается от режима, в котором приложение использует только DNS-резолвер 1.1.1.1.
При работе только с DNS меняется обработка запросов доменных имён. При передаче через WARP в туннель направляется соответствующий сетевой трафик.
Cloudflare отдельно указывает, что WARP не предназначен для обеспечения анонимности или представления пользователя находящимся в выбранной другой стране. Поэтому его нельзя приравнивать к VPN-сервису с гарантированным выбором страны выхода.
Последовательность передачи данных
В серверном варианте связки соединение проходит следующие этапы:
Пользовательский клиент подключается к серверу Xray.
Xray принимает соединение через настроенный входящий обработчик.
Правила маршрутизации определяют способ дальнейшей передачи.
Выбранное соединение направляется в WARP.
Сеть Cloudflare передаёт его конечному ресурсу.
В терминологии Xray входящие обработчики называются inbounds, а выходящие — outbounds. Правила маршрутизации связывают конкретное соединение с подходящим выходом.
Полная и выборочная маршрутизация
WARP может использоваться для всего пользовательского трафика, обрабатываемого Xray, либо только для отдельных направлений.
При выборочной маршрутизации часть соединений выходит через WARP, а остальные используют другой настроенный выход. Правила могут учитывать домены, IP-адреса и другие поддерживаемые признаки.
Порядок правил имеет значение: Xray проверяет их последовательно и использует первое подходящее. Если совпадения нет, применяется предусмотренный конфигурацией выход по умолчанию.
Поэтому добавление нового outbound само по себе не доказывает, что трафик уже направлен в него. Необходимо учитывать и правила, и поведение для соединений, которые им не соответствуют.
Варианты подключения WARP
В документации Marzban опубликован вариант интеграции через конфигурацию WireGuard. Описаны как выход WireGuard внутри Xray, так и отдельный системный интерфейс, используемый для исходящих соединений.
Эта инструкция относится к конкретной архитектуре. Её параметры нельзя автоматически переносить на любую версию клиента WARP или любой способ развёртывания Xray.
Другой вариант заключается в использовании локального прокси-интерфейса WARP. В этом случае Xray направляет соединения в SOCKS-прокси, а клиент WARP передаёт их дальше.
Xray поддерживает SOCKS как тип исходящего подключения. Такой интерфейс позволяет разделить работу сетевого ядра и отдельного клиента, обслуживающего следующий участок соединения.
WireGuard и MASQUE
Старые материалы о WARP часто описывают его исключительно через WireGuard. Актуальная документация потребительского клиента Cloudflare описывает передачу через MASQUE.
Для Cloudflare One Client документация отдельно указывает, что режим Local proxy требует MASQUE и не поддерживает WireGuard. Это ограничение относится именно к указанному режиму клиента и не является универсальным описанием всех исторических способов подключения WARP.
При выборе реализации необходимо различать официальный клиент, корпоративный Cloudflare One Client и сторонние инструменты, создающие WireGuard-конфигурации. Это разные программные варианты с разными требованиями.
Локальный прокси и контейнеры
При использовании локального SOCKS-прокси Xray должен иметь сетевой доступ к адресу, на котором этот прокси слушает соединения.
Это особенно существенно при контейнерном развёртывании. Адрес 127.0.0.1 внутри обычного изолированного контейнера обозначает сам контейнер. Он не становится автоматически адресом службы, работающей на основной системе сервера.
Поэтому размещение Xray и WARP в разных сетевых пространствах требует явно предусмотренного соединения между ними. Иначе служба WARP может работать исправно, но Xray не сможет использовать её в качестве выхода.
Системный маршрут и доступ к серверу
Если WARP включается как системный туннель, изменение маршрутов может затронуть не только пользовательские подключения, но и SSH, панель управления и служебные запросы.
В инструкции Marzban для одного из вариантов WireGuard используется параметр Table = off, предотвращающий автоматическую установку маршрутов средствами wg-quick. Документация предупреждает о возможной потере доступа к серверу при неправильной конфигурации.
Это показывает различие между отдельным выходом для Xray и заменой маршрута всей операционной системы. Результат этих действий существенно отличается.
DNS и адрес выхода
Указание DNS-сервера 1.1.1.1 в настройках Marzban не подключает WARP. DNS определяет получение адресов доменов, а исходящий маршрут определяет передачу соединений.
Если используется выборочная маршрутизация, разные сайты могут видеть разные адреса выхода. Один запрос может пройти через Cloudflare, другой — напрямую через хостинг сервера.
Из этого следует, что проверять необходимо именно запросы, соответствующие нужному правилу. Проверка произвольного сайта не подтверждает работу всех остальных направлений.
Проверка работы связки
Работоспособность оценивается по нескольким признакам:
пользователь успешно подключается к Xray;
нужное правило выбирает выход WARP;
запрос достигает конечного ресурса;
внешний адрес соответствует ожидаемому маршруту;
DNS и IPv6 обрабатываются согласно конфигурации;
после перезапуска сохраняется доступ к панели и серверу;
при отключении WARP соединения ведут себя предусмотренным образом.
Отдельного внимания требует резервный прямой выход. Если он включён, при проблемах с WARP трафик может продолжить передаваться через адрес хостинга. Это допустимо только для конфигурации, в которой такое поведение предусмотрено.
Конфиденциальность и ограничения
По устройству этой схемы оператор сервера остаётся участником обработки пользовательских соединений, а Cloudflare становится оператором следующего участка маршрута. Добавление WARP не устраняет доверие к владельцу сервера.
WARP также не заменяет HTTPS и сквозное шифрование приложений. Защита от чтения содержимого промежуточными узлами зависит от протокола самого приложения.
Практическое назначение связки заключается в управлении исходящими маршрутами. Она позволяет выбирать, какой трафик Xray направляет через Cloudflare, но не гарантирует увеличение скорости, доступность любого ресурса или анонимность пользователя.
Комментарии