零信任WARP：使用MASQUE进行隧道传输
内容提要
Cloudflare将MASQUE协议集成到其Zero Trust WARP服务中，提供了改进的性能、隐私和绕过防火墙的能力。MASQUE利用HTTP/3和QUIC协议高效地代理IP和UDP流量。此集成解决了WireGuard的局限性，后者不易扩展且可能被防火墙阻塞。Cloudflare的全球网络已经支持MASQUE、HTTP/3和QUIC，确保可靠性和可扩展性。使用MASQUE的Zero Trust WARP将允许用户从任何地方连接，使用不太可能被阻塞的众所周知的端口。此外，MASQUE支持符合标准的密码套件，包括FIPS合规加密。Cloudflare计划在2024年初开放Zero Trust WARP与MASQUE的公测。
延伸解读
从WireGuard到MASQUE：协议演进的必然性
WireGuard在2019年作为1.1.1.1与WARP的协议选择，以其简单、快速、安全的特点满足了当时的需求。然而，其简单性也带来了扩展性不足的问题，难以支持更好的会话管理、高级拥塞控制或FIPS合规加密套件。此外，WireGuard并非基于标准，使用非标准端口（如51820或2408），容易被防火墙或ISP屏蔽，影响用户连接体验。MASQUE基于HTTP/3和QUIC标准，使用UDP 17和端口443，这些端口众所周知且不易被屏蔽，从而解决了WireGuard的局限性。
MASQUE带来的实际好处：连接性与合规性
对于Zero Trust WARP用户，MASQUE意味着更可靠的连接。无论身处咖啡店、酒店还是机场，使用公共Wi-Fi时，MASQUE利用标准端口443和UDP，大幅降低被防火墙屏蔽的风险。同时，MASQUE基于TLS 1.3，支持FIPS合规的加密套件，满足美国政府及其他对加密有严格要求的客户。Cloudflare计划在2024年第二季度为Cloudflare One客户开放MASQUE公测，届时用户将能体验到这些改进。
Cloudflare的全球网络与MASQUE的规模验证
Cloudflare的网络覆盖310多个城市、120多个国家，并与全球超过13,000个网络互联。HTTP/3和QUIC自2019年部署以来，已承载约30%的HTTP流量，证明了其可靠性和规模。此外，Cloudflare已将MASQUE用于iCloud Private Relay等隐私代理服务，其基于Rust的代理框架和开源QUIC实现已在全球部署，验证了MASQUE的稳定性和性能。因此，Zero Trust WARP用户将受益于这一经过大规模验证的基础设施。
Q&A
MASQUE协议的主要功能是什么？
MASQUE协议通过扩展HTTP/3和QUIC，能够高效代理IP和UDP流量，提供更好的性能和隐私保护。
Cloudflare的Zero Trust WARP如何利用MASQUE提高连接可靠性？
Zero Trust WARP使用MASQUE通过HTTP/3和QUIC在常用端口上建立隧道，减少被防火墙阻塞的可能性，从而提高连接的可靠性。
MASQUE与WireGuard相比有哪些优势？
MASQUE解决了WireGuard的扩展性和防火墙阻塞问题，支持更好的会话管理和FIPS合规加密，而WireGuard在这些方面存在局限性。
Cloudflare计划何时开放Zero Trust WARP与MASQUE的公测？
Cloudflare计划在2024年第二季度开放Zero Trust WARP与MASQUE的公测。
MASQUE支持哪些加密标准？
MASQUE支持符合标准的密码套件，包括FIPS合规加密，利用TLS 1.3提供多种选择。
Cloudflare的全球网络如何支持MASQUE和QUIC？
Cloudflare的全球网络覆盖310多个城市，支持MASQUE、HTTP/3和QUIC，确保服务的可靠性和可扩展性。
