因为那种号称 x 小时做出成品的营销视频，背后编排、彩排了 N 次，看一乐得了。

基站针对 iPhone 负优化，深圳特别明显

@zidekuls 用 v2ray 或者 sing-box 做一层桥接即可，我推荐使用 sing-box ；之前回复提到的方法可以优化，只需要注意在 sing-box 配置 warp 出站的 socks 协议为 socks4 版本即可，其他系统 dns 什么的都不需要再修改了； v2ray 或者 sing-box 的 gui 一般都会默认本地开启一个 socks5 服务器，其他设备或者浏览器用 socks5 协议连接即可。

直接使用 sing-box 内核的话，配置文件参考如下：
{
"log":{
"disabled":false,
"level":"info",
"timestamp":true
},
"dns":{
"independent_cache":true,
"servers":[
{
"tag":"cf",
"address":"tls://1.1.1.1/dns-query",
"detour":"warp"
},
{
"tag":"local",
"address":"tls://223.5.5.5",
"detour":"direct"
},
{
"tag":"rcode",
"address":"rcode://success"
}
],
"rules":[
{
"geosite":"cn",
"server":"local"
}
]
},
"inbounds":[
{
"type":"mixed",
"tag":"mixed-in",
"listen":"::",
"listen_port":2080,
"sniff":true
}
],
"outbounds":[
{
"type":"direct",
"tag":"direct"
},
{
"tag":"warp",
"type":"socks",
"version":"4",
"server":"127.0.0.1",
"server_port":40000
},
{
"type":"block",
"tag":"block"
},
{
"type":"dns",
"tag":"dns-out"
}
],
"route":{
"final":"direct",
"auto_detect_interface":true,
"rules":[
{
"protocol":"dns",
"outbound":"dns-out"
},
{
"geosite":"category-ads-all",
"outbound":"block"
},
{
"geosite":"cn",
"geoip":[
"cn",
"private"
],
"outbound":"direct"
}
]
}
}

@neroxps 谢谢大佬的提点，fake-ip 方案确实优雅好使，已经完美解决好了我的情况；但，如果 fake-ip 不管出墙的 ipv6 请求的话，那就是纯 ipv4 出国了，这样跟一些类似的方案，比如 dns 服务器直接改掉对应网站的 ipv6 dns 效果是一样的。

@neroxps 就是 fake-ip 的 ipv4 地址段和 ipv6 地址段在主路由可以设置规则转发到旁路由么？原生梅林上好像没看到有类似的设置页面。。。

@neroxps 大佬，主路由怎么设置 fake-ip 就转发给旁路由？

@ConDuseW 墙内直接用 wg 等组虚拟内网，不过墙没什么问题的应该

问题 1. 服务端分流回国流量到 warp ，是为了避免有时客户端这边出站的时候分流规则没生效，导致访问国内网站流量经过了 vps ，然后 vps 直接返回应答的话，就会暴露 vps ；客户端出站分流不生效有几个原因，比如手滑开了全局、客户端 geoip 更新不及时没过滤掉一些漏网之鱼，或者没有分流规则的新设备直连了节点。

问题 2. wg 要作为链式代理出口，那么通道节点要支持 udp ，常见的 vmess 、trojan 好像都是不支持的，ss 可以，但是也要看服务端设置了如何处理 udp ，设置了不转发 udp 或者 uot 的好像都不行，所以免费机场节点要支持 wg 就要看运气要试。

问题 3. 自己搞廉价 vps 开 ss 是最稳定可靠的方案了，但也脱离了放心用不可信机场通道，或完全白嫖的初衷。但，反过来自己先套 warp 再用机场做出口，大部分情况是可以的，主要用来保护自己的同时利用机场节点切换落地的地区，但并不能远端套 warp 解锁一些网站。

@xiaokanhongchen 后端就是用 go-openai-api ，只不过潘多拉的版本被改了两条 url 路由，本来就开源的一模一样的后端，愣是强制捆绑。

@xiaokanhongchen 潘多拉需要将数据经过他们运营的后端转发，敏感信息和账号要慎重

跟进一下这个 case：

国内网络下，本地使用 warp 客户端的 proxy 模式的简易优雅办法是：
1. 物理网卡的 DNS 服务指向本机 ip：127.0.0.1
2. Firefox 使用 foxyproxy 插件，创建 socks5 出口，指向 warp 的端口，默认 127.0.0.1:40000 ；重点：“通过 socks5 代理发送 dns 请求”的选项关闭。chrome 系的 switchomega 没有这个功能。
3. firefox 隐私与安全 - 安全 dns - 选择增强保护 - 选 cloudflare 或者其他 doh/dot
3. v2ray 或者 sing-box 带有 dns 处理模块：sing-box 为例，创建一个监听本机 53 端口的入站点，开启流量嗅探，协议选 direct ，创建一个 sock5 指向 warp 的端口为出站点，随便设置一个 tag ，开启 udp_over_tcp
4. singbox 路由添加匹配 dns 协议，由 dns 规则处理 dns 请求。
"route": {
"rules": [
{
"protocol": "dns",
"outbound": "dns-out"
}
]
}

5. 设置 singbox 的 dns 处理模块，参考以下:
"dns": {
"disable_cache": true,
"rules": [
{
"geosite": "cn",
"server": "local"
}
],
"servers": [
{
"tag": "cf",
"address": "tls://1.1.1.1",
"detour": "warp" #warp 出站点的 tag
},
{
"tag": "local",
"address": "1.12.12.12",
"address_resolver":"dns-local",
"detour": "direct"
}
]
}


大致的原理就是，在本地先将请求解析成 ip 再传给 warp ，warp 前端就认为不需要 dns 解析了，然后就通过后端隧道发出去了。浏览器的话，第 2 步就是不让 warp 前端做 dns 解析的关键，暂时只有 ff 的插件能比较简单的解决。

v2ray 或者 singbox 虽然能处理 dns ，但是一般来说代理工具内部处理 dns 只是做路由匹配，用来决定浏览器的请求包应该发去哪个节点，而不会将 https 请求包的地址从域名形式替换成 ip 形式，所以无法单纯用一层代理套娃来解决。ff 插件拆分出 dns 请求和 https 请求，浏览器就会自己先发出 dns 请求，用代理工具捕获解析好返回 ip 给浏览器，浏览器知道目的地 ip 了，将 https 的域名替换成 ip ，最后再发给 warp 。

其他的办法是，代理软件的透明代理模式或者 tun 模式可以捕获 warp 前端发送的 dns 请求，这样浏览器就无需插件了，但同样要设置好代理工具的 dns 模块规则； 透明代理要改 iptables ，如无必要最好还是选择 tun 模式，但我不确定 tun 模式会不会有回环的问题。

总结：
1. warp 的 proxy 模式性能很拉胯，大概最多能看个 1080p ；
2. 原生 wg 可以用 sing-box 做完美分流，或者用 sing-box 实现的轻量级 wg 也可以有接近原生 wg 的性能；
3. dns 分流做好了才能安全冲浪，大家要重视哦，借助 cf 实现起来很简单。peace 。

@IDAEngine #16 南方的电信用户裸连 warp 体验非常好！ 现在 warp+的体验分流 80%需求问题不大，如果自己管理 chatgpt 这类应用的连接的话还是需要有海外节点的，两者互补。

@Dxer 提取配置接 wg 没毛病的，我关注的重点是本地分流玩法。

@IDAEngine 海外 vps 套 warp 主要只是用来解锁一些限制网站，能连到海外服务器了本身就已经解决魔法问题了。。。

关注的重点是本地 warp 客户端的设置，现在随便白嫖 warp+流量，设置 warp 比管理自建节点简单，作为备用和分流用是很爽的；本地 mode=warp 在应用层跟其他常用代理工具会冲突的，所以同一台机器上套娃分流好像不太好搞（菜+懒）；两台机器就比较容易，一台 mode=warp 全局，分一个端口出来给其他机器的代理工具接就很好分流。

@XIU2 大神解析非常清晰，廓然开朗了，十分感谢！🙏

wireproxy 我有用在服务器上，只是对原理不太明白；虽然现在 warp+等于无限免费送，24*7 挂着也不心疼，但这样被滥用会不会很快又回到解放前，昨晚想着 warp 全局有时不太方便，就想着进一步研究一下。

wgcf 提取配置然后用 wireguard 的方式也很棒，但相比 warp 客户端，对端 ip 还是偶尔要手动换，虽然 warp 也不见得次次都分到合适的对端，但他点点开关就 ok 的麻瓜方式也不错。

刚刚还看了一眼团队账户相关的，cloudflare tunnel 这个组网好像有点厉害，设置合适直接将 wg 或者 tailscale 组网能力都集成起来了，还有群控、分流等等也很厉害。

@hymzhek 感谢提供信息！ DNS 还是不太会处理，一脸懵逼。