共计 3205 个字符，预计需要花费 9 分钟才能阅读完成。
借着 RE 大佬发布了 Warp+ Panel 然后薯条大佬进一步完善后，Surge 群里又重新折腾起了将 Cloudflare 的 Warp+ 及 Zero Trust（Team）变成 Wireguard 配置的热潮。鉴于有部份朋友不会弄，用自己浅显的理解写了一个教程，希望能帮到大家。
写在最前面的提醒：检查一下你的 surge 订阅情况，要开通 MITM H2！！！并且开关已经打开，如图所示，另外，现在折腾的 wireguard V6 需要最新的 TF 版。
再次说明：当时写教程用的 TF 版，和最新的商店版略微有点差别，但是基本的东西还是没变，所以教程截图就不更新了。
再提醒：除了一开始要求的打开 1.1.1.1 app 链接一次并加入 team 后，就可以断开它的链接，后面只是点开这个 app 并不需要链接它，后续操作都是在 surge 运行的情况下进行！
# 第一步：去 app store 下载 1.1.1.1 app：
下载地址
https://apps.apple.com/jp/app/1-1-1-1-faster-internet/id1423538627
# 第二步：去 apps tore 下载 wireguard app
# 第三步：按照下面链接教程：注册和加入一个 team（Zero Trust），并用 1.1.1.1 app 进行一次链接以生成数据，其后可以关闭并打开 surge。
注册 Cloudflare 并加入 ZeroTrust 教程
# 第四步：在 surge 里面安装薯条的 warp+ panel 模块
薯条这个模块写着支持 Qx 指的是这个模块可以在 Q X 下运行并生成 wireguard 配置，但是 Qx 不支持 wireguard，所以没有 surge 就别折腾了。
模块地址：
https://raw.githubusercontent.com/VirgilClyne/Cloudflare/main/sgmodule/Cloudflare.1.1.1.1.sgmodule
# 第五步：surge 安装 boxjs，并订阅薯条的 boxjs：
https://raw.githubusercontent.com/VirgilClyne/Cloudflare/beta/BoxJs/Cloudflare.beta.boxjs.json
在薯条的 boxjs 里面关注 cloudflare 1.1.1.1，本次只需要用到这一个。
如果你是 surge 老用户应该已经知道如何使用配置 boxjs 了。
注意的一点就是新用户，boxjs 我画红线的地方要和 surge 里面的 http api 那里端口 密码一致。
第六步：打开 wireguard app 添加隧道 - 手动创建 - 生成密钥对，将生成的公钥和私钥都复制出来，保存在备忘录并做好备注公钥、私钥。本次教程中 wireguard 的唯一作用就是生成一对密钥。
# 第七步：打开一次 1.1.1.1 app，surge 会有一个提示公钥 设备注册 ID 等等，也可以进入 surge 的工具 - 日志拉到下面点开 warp team response，找到里面的设备注册 ID，设备令牌数据，可以提前复制出来备用。
提示：设备注册 ID 格式为：t.xxxxxxxxxxxxxx 要全部复制进去。
很多人最后发现出错很多时候就是私钥 公钥 设备 ID 没有复制完全。
# 第八步：打开 boxjs 选择 cloudflare 1.1.1.1
如上图所示打开总功能开关，选择更换公钥，然后在 boxjs 里面按照顺序填入之前 wireguard app 生成并复制出来的公钥 私钥，在 surge 日志里面找到的设备 ID，并保存即可。现在最新版的在上一步打开 1.1.1.1 app 的时候也会提示发现 team 配置，里面也有设备 ID 等信息，但是方便起见还是第七步的 surge 日志页面找到 warp team response 并查看和复制里面的信息比较方便。
# 第九步：打开 1.1.1.1 app，进入设置 高级 链接选项拉到最底下的重置加密密钥
正常情况下这时候 surge 会有个通知，通知内容一个是提示公钥是否一致，另外一个是生成配置，点击生成配置的通知会自动跳转到系统邮件 app，里面就是生成的 wireguard 配置，按照里面内容，进入 surge 首页 - 代理服务器 - 添加代理 - 代理类型选择 wire guard 填入里面相应字段即可。
说明一下：有些人按照教程生成的配置可能去 ping 的时候会不通，这是很正常的，服务器在美国呢，所以需要用代理链去拉 warp 才会快，目前香港只有 HKT 线路可以，然后其他地区就是日美新台了。
另外注意，拉 warp 的代理链最好是 trojan 协议的，部份机场的 SS 好像也可以，Vmess 不行，其它的可以自行试验。
备注：有大佬说我这段是误人子弟，解释一下是因为拉 warp 代理链要通过 UDP，但是有些机场的 SS 似乎因为某些原因对 UDP 有限制，而 trojan 会好一点，请各位根据自己机场情况自行试验。
再说明：如果你按照本教程已经成功的生成了 wireguard 配置，但是 ping 的时候是 failed，点一下https://www.cloudflare.com/cdn-cgi/trace 测试，（注意看一下这个测试网址是否走了你的 warp 策略组）
显示 warp=plus，那么就是成功了，还有就是用 warp 线路去看 YouTube，如果能看就成功了，区域如果直连的可能显示为 US，用其他地区代理链的会显示相应代理链，那么 1.1.1.1 app 可以打入冷宫了（卸载），因为你再次打开它会自动重置客户端公钥。
再次提醒：有些人会说最后面板上能显示出团队版 无限流量，但是显示无保护，这是因为脚本读取到了 zero trust（team）的信息，但是测试网址没有走 warp 线路，如下图所示，这时候刷新一下面板然后去工具 - 最近请求里面看一下如下图所示的这三个测试网址走的是什么策略，把这个策略改成 warp 线路的，就好了。
补充一点：用薯条面板生成的配置的 endpoint 是engage.nanocat.me:2408，这个是他的私有 DNS 服务器，里面包含了所有 warp 的 endpoint 可用 IP，包括 free 的，有些 IP 段在国内是不通的，这也是有些人有时候直连 ping 不通的原因，当时正好分配到不能用的 IP，如果这样时候可以试试把 endpoint 改为：
162.159.193.1～10:2408
或者 162.159.195.1～10:2408，
注意不是上面的格式，而是从 1～10 中选一个去试
最终格式应该是类似：
162.159.193.5:2408
或者
162.159.195.8:2408
这两个 193、195 段是 Warp+ 服务的。
千万不要直接填成 1～10 然后问为什么不行
2023 年 2 月 10 日补充：
老刘于昨天更新了 surge 中的 wireguard 配置：
WireGuard 新增 Peer 参数 client-id，用于兼容 Cloudflare 或其他一些特殊的 WireGuard 实现。
例如：
peer = (public-key = bmXOC+F1FxEMF9dyiK2H5/1SUtzH0JuVo51h2wPfgyo=, allowed-ips =“0.0.0.0/0, /0”, endpoint = [2606:4700:d0a29f:c002]:2408, client-id = 83/12/235)
注：
- 该参数仅被 Cloudflare 用于负载均衡，不涉及防滥用问题
- 若使用 Surge 作为客户端连接 WARP 服务，请阅读并遵守 Cloudflare 的服务条款，合理使用。
如果使用最新的薯条面板抓出来的已经包含了 client-id 了（reserved 参数即是）
根据示例自行添加进去即可，无其他变化
最后再次感谢各位大佬们凭借着热情写出来的东西，让我们这些小白用户有东西可以折腾！
注意：目前 UI 界面无法添加 client-id 参数，且通过 UI 界面编辑后无法保存，要使用代理链的，先添加好代理链后再在文本模式下编辑加入 client-id 参数。
