Cloudflare One Client (原 WARP)2026.7.1376.0

Cloudflare One Client（原 WARP）是组织设备接入 Cloudflare Zero Trust 的客户端。下载程序只是开始：连接模式、团队名称、登录方式、设备注册和 Gateway 策略共同决定它能做什么。本文面向第一次部署的管理员与终端用户，按“选模式—建组织—注册设备—验证—排错”整理步骤；个人只想使用消费版 WARP 时，不应把它与组织客户端的策略能力混为一谈。

先弄清 Client、Agent 与 WARP 的关系

桌面和移动端名称不同

Cloudflare 当前在 Windows、macOS、Linux 文档中使用 Cloudflare One Client，iOS 与 Android 商店常显示 Cloudflare One Agent；官方文档和服务名仍会保留 WARP 字样。桌面端还会安装后台服务、warp-cli 和 warp-diag，移动端则由应用商店维护更新。

模式决定流量范围

组织首次配置按五步走

1. 创建 Cloudflare 账号和 Zero Trust 组织，记下团队名称；它是设备手动加入组织时要输入的标识。
2. 配置登录方法，可使用 Cloudflare 身份、一次性 PIN 或第三方身份提供商。
3. 创建设备 enrollment 规则，限制哪些用户可以注册设备。
4. 如果要做 HTTPS 流量检查，在受支持设备上安装并信任 Cloudflare 根证书；移动端和部分 Linux 发行版有额外限制。
5. 从官方稳定版下载页选择系统包，部署后让用户登录组织，再在 Gateway/Zero Trust 面板确认设备状态。

小组织与大组织的区别：手动部署适合少量用户自行下载和注册；Intune、JAMF 等 MDM 托管部署适合统一安装、参数和更新策略。不要让终端用户绕过组织策略单独更改模式。

终端注册后检查三个信号

界面状态、命令状态与后台设备记录要一致

• 图形界面显示 Connected，并确认当前模式是管理员要求的 Traffic and DNS 或 DNS-only。
• 在桌面终端运行 warp-cli status，记录连接状态、组织和模式；输出命令随版本变化，以当前帮助为准。
• 回到 Zero Trust 仪表盘检查设备是否已注册、用户身份和最近连接时间是否出现。

如果只是“能联网”，还不能证明策略生效。组织应再用一条受控 DNS/HTTP 规则做最小验证，并记录测试时间、设备名和策略命中结果。

连接失败时先按责任边界排查

Cloudflare 官方更新文档建议受管设备先测试再分批更新；未受管设备可从客户端界面触发更新。排错时保留 warp-diag 诊断包和版本号，先撤销最近的策略变化，不要反复卸载导致设备注册记录混乱。

当前稳定版与下载入口

官方稳定版下载文档在 2026-08-28 更新的 Windows 条目显示版本 2026.7.1376.0、约 59.4 MB，并区分稳定、Beta 与 LTS 轨道。其他平台的构建号和系统要求可能不同；生产设备应以官方平台条目和组织支持策略为准。Cloudflare One Client 的能力来自 Zero Trust 组织与策略组合，不能把“已连接”宣传成对所有应用流量的无条件保护。