本指南将引导您首次为您的组织设置 Cloudflare One Client（前称为 WARP）。完成这些步骤后，您的设备将通过 Cloudflare 的网络路由流量，您可以在其中应用安全策略。
根据您的需求选择设置模式：
- 流量和 DNS 模式（默认） —— 启用全套安全功能，包括 HTTP 检查、基于身份的策略和设备状态检测。
- 仅 DNS 模式 —— 仅过滤 DNS 查询。不检查 HTTP 流量或强制执行设备状态检测。
此模式启用全套设备安全功能。
Cloudflare One 仪表板 ↗ 将是您查看设备连接数据以及为您的组织创建 Secure Web Gateway 和 Zero Trust 策略的首选位置。
在您完成 Cloudflare Zero Trust 引导流程 时，系统将要求您为组织创建一个 团队名称（team name）。当您在设备上部署 Cloudflare One Client 时，您需要用到该团队名称；它将允许您的用户连接到您组织的 Cloudflare Zero Trust 实例。
在 Zero Trust 中配置一次性 PIN 码或连接第三方身份提供商。这是您的用户在进行身份验证以将新设备添加到您的 Cloudflare Zero Trust 设置时将使用的登录方法。
创建设备注册规则以定义您组织中的哪些用户能够将设备连接到您组织的 Cloudflare Zero Trust 设置。在创建规则时，系统将要求您选择希望用户使用哪种登录方法进行身份验证。
包括 HTTP 流量检查在内的高级安全功能要求用户在其机器或设备上安装并信任 Cloudflare 根证书。如果您在所有设备上手动安装证书，则需要在要接受 HTTP 过滤的每个新设备上执行这些步骤。
根据最适合您组织的方式，选择部署 Cloudflare One Client 的不同方式之一。
在设备上安装 Cloudflare One Client 后，登录到您的 Zero Trust 组织。系统会提示用户使用您配置的登录方法之一进行身份验证。新组织默认包含 Cloudflare 身份提供商，因此用户可以使用其 Cloudflare 账户凭证登录。您也可以连接第三方身份提供商或启用一次性 PIN 码。
接下来，构建 Secure Web Gateway 策略来过滤您设备上的 DNS、HTTP 和网络流量。
此模式最适合只想对其公司设备的离站流量应用 DNS 过滤的组织。它不启用高级 HTTP 过滤功能，例如 HTTP 策略、基于身份的策略、设备状态检测或浏览器隔离（Browser Isolation）。
Zero Trust 将是您查看设备连接数据以及为您的组织创建 Secure Web Gateway 和 Zero Trust 策略的首选位置。
在您完成 Cloudflare Zero Trust 引导流程 时，系统将要求您为组织创建一个 团队名称（team name）。当您在设备上部署 Cloudflare One Client 时，您需要用到该团队名称；它将允许您的用户连接到您组织的 Cloudflare Zero Trust 实例。
在 Zero Trust 中配置一次性 PIN 码或连接第三方身份提供商。这是您的用户在进行身份验证以将新设备添加到您的 Cloudflare Zero Trust 设置时将使用的登录方法。
创建设备注册规则以定义您组织中的哪些用户能够将设备连接到 您组织的 Cloudflare Zero Trust 设置。在创建规则时，系统将要求您选择希望用户使用哪种登录方法进行身份验证。
默认情况下，Cloudflare One Client 使用称为 DNS-over-HTTPS (DoH) 的加密协议将 DNS 查询发送到 Cloudflare。如果您需要对不同的办公室或网络位置应用不同的 DNS 策略，请向 Gateway 添加 DNS 位置。Gateway 将为每个位置分配一个唯一的 DoH 子域（DoH subdomain），您在向设备部署 Cloudflare One Client 时将其作为参数提供。
根据最适合您组织的方式，选择部署 Cloudflare One Client 的不同方式之一。
接下来，创建 DNS 策略来控制如何解析来自您设备的 DNS 查询。