Den Hermes Agent privat mit Cloudflare WARP freigeben

Eine häufige Herausforderung entsteht, wenn Sie von anderen Geräten wie Laptops, Tablets oder Telefonen auf Ihren Hermes Agent zugreifen möchten, ohne ihn dem öffentlichen Internet preiszugeben. Durch die Nutzung von Cloudflare WARP mit Cloudflare Zero Trust können Sie den Hermes Agent weltweit verfügbar machen, ohne einen einzigen eingehenden Port an Ihrer Firewall öffnen zu müssen.

Wenn Sie unserer vorherigen Anleitung, 'Anleitung zur Bereitstellung des Hermes Agents auf Linux-VPS', gefolgt sind, läuft bereits ein Hermes Agent rund um die Uhr. Anstatt sich mit dem Mehraufwand herkömmlicher VPNs zu befassen, werden wir den Cloudflare WARP-Client verwenden, um den Hermes Agent über das Internet in einem privaten Netzwerk bereitzustellen.

Die Architektur verstehen

Die beteiligten Komponenten:

1. Cloudflare Zero Trust: Das Dashboard bei Cloudflare, in dem Sie Routing-Regeln und Zugriffsrichtlinien definieren.
2. Cloudflare WARP: Die Client-Anwendung, die auf Ihren Geräten (VPS, Laptops, Telefone) installiert ist. Sie fängt den für Ihr privates Netzwerk bestimmten Datenverkehr ab und leitet ihn sicher weiter.

Voraussetzungen

• Ein laufender Hermes Agent auf Ihrem VPS.
• Ein kostenloses Cloudflare-Konto.

Schritt-für-Schritt-Anleitung

Schritt 1: Cloudflare Zero Trust einrichten

1. Melden Sie sich bei Ihrem Cloudflare Dashboard an.
2. Klicken Sie im linken Menü auf 'Zero Trust'.
3. Wenn dies Ihr erstes Mal ist, werden Sie aufgefordert, einen Tarif zu wählen (der kostenlose Tarif reicht für dieses Setup völlig aus) und Ihr Team zu benennen (z. B. ai-team).
4. Klicken Sie auf 'Access' und dann auf 'Policies', um eine Zugriffsrichtlinie zu erstellen, die festlegt, wer Zugriff auf das Netzwerk hat.
5. Klicken Sie auf 'Create new policy'.
6. Wählen Sie 'Emails' und geben Sie Ihre E-Mail-Adresse unter 'Policy rules' ein.

Schritt 2: Den Cloudflare WARP-Client auf dem VPS einrichten

1. Führen Sie sudo apt update und sudo apt install cloudflare-warp im Terminal auf Ihrem VPS aus.
2. Führen Sie warp-cli registration new <TEAM-NAME> im Terminal auf Ihrem VPS aus, was eine URL ausgibt.
3. Kopieren Sie die ausgegebene URL, die wie https://<team>.cloudflareaccess.com/warp aussieht, und fügen Sie sie zur Authentifizierung in Ihren Browser ein.
4. Da bei der oben genannten Richtlinieneinrichtung die E-Mail-Authentifizierung verwendet wird, geben Sie Ihre E-Mail-Adresse ein, um sich zu authentifizieren.
5. Klicken Sie auf der Seite 'Success' (Erfolg) im Browser mit der rechten Maustaste auf die blaue Schaltfläche 'Open Cloudflare WARP' und wählen Sie 'Inspect' (Untersuchen).
6. Kopieren Sie den langen Token, der im Link der Schaltfläche angezeigt wird.
7. Führen Sie warp-cli --accept-tos registration token "https://<team>.cloudflareaccess.com/auth?token=<copied_token>" im Terminal auf Ihrem VPS aus, um es mit Cloudflare Zero Trust zu verbinden.
   Falls der Fehler 'Error: Failed to communicate with the WARP API' auf Ubuntu 26 auftritt, führen Sie die folgenden Befehle aus:

   sudo systemctl restart warp-svc.service
   
   # Check status
   sudo systemctl status warp-svc.service
   
   # Run the warp-cli registration token again
   warp-cli --accept-tos registration token   "https://<team>.cloudflareaccess.com/auth?token=<copied_token>"
   

8. Kehren Sie zum Cloudflare Zero Trust-Dashboard zurück und klicken Sie auf 'Devices' (Geräte). Ihr VPS-Gerät sollte nun angezeigt werden.

Schritt 3: Datenverkehr-Routing einrichten

1. Klicken Sie im Geräte-Dashboard auf das Profil Ihres VPS.
2. Scrollen Sie nach unten zum Abschnitt 'Split Tunnels'.
3. Klicken Sie auf die Schaltfläche 'Manage' (Verwalten) und konfigurieren Sie die Einstellungen wie unten gezeigt. Ersetzen Sie die IP-Adresse bei Bedarf.
4. Durch die Freigabe von address und host wird der Datenverkehr über dasselbe private Netzwerk an Ihre Dienste weitergeleitet.

Schritt 4: Firewall auf dem VPS konfigurieren

Aktivieren Sie die Firewall so, dass nur das Subnetz '100.96.0.0/12' zugelassen wird und alle anderen öffentlichen eingehenden Zugriffe blockiert werden.

sudo ufw enable 
sudo ufw default allow outgoing 
sudo ufw default deny incoming
sudo ufw allow in from 100.96.0.0/12

Lassen Sie Loopback-Datenverkehr zu, um lokale Dienste nicht zu unterbrechen:

sudo ufw allow in on lo
sudo ufw allow out on lo

Laden Sie die Firewall neu und überprüfen Sie den Status:

sudo ufw reload 
sudo ufw status verbose

Schritt 5: Den Hermes Agent im privaten Netzwerk freigeben

Wir werden das Hermes Agent Web Dashboard für unser privates Netzwerk freigeben und den Standard-Authentifizierungsanbieter Nous Research verwenden.

Den Authentifizierungsanbieter einrichten

1. Gehen Sie zu portal.nousresearch.com, um ein Konto zu registrieren.
2. Wählen Sie 'Local Dashboards' (Lokale Dashboards).
3. Klicken Sie auf 'Register Dashboard' (Dashboard registrieren).
4. Geben Sie die IP-Adresse des privaten Netzwerks Ihres VPS als 'Dashboard redirect URI' ein und klicken Sie auf 'Save' (Speichern).
5. Kopieren Sie die 'OAuth client ID' und fügen Sie sie in Ihre config.yaml-Datei ein:

dashboard:
  theme: default
  show_token_analytics: false
  oauth:
    client_id: agent:cmq02x7ha0002jk0ba3kfnb
    portal_url: https://portal.nousresearch.com
  basic_auth:
    username: ''
    password_hash: ''

Systemd einrichten, um das Hermes Dashboard automatisch zu starten

1. Erstellen Sie eine Service-Datei:

sudo nano /etc/systemd/system/hermes-dashboard.service

2. Fügen Sie die folgende Konfiguration ein und stellen Sie sicher, dass --host 0.0.0.0 Teil des Befehls ist:

[Unit]
Description=Hermes Dashboard
After=network.target

[Service]
User=hermes
WorkingDirectory=/home/hermes
ExecStart=/home/hermes/.local/bin/hermes dashboard --host 0.0.0.0
Restart=always
RestartSec=10
Environment=PATH=/home/hermes/.local/bin:/usr/local/bin:/usr/bin:/bin

[Install]
WantedBy=multi-user.target

3. Aktivieren und starten Sie den Dienst:

sudo systemctl daemon-reload
sudo systemctl enable hermes-dashboard
sudo systemctl start hermes-dashboard
sudo systemctl status hermes-dashboard

Schritt 6: Den Cloudflare WARP-Client auf dem Desktop installieren

1. Laden Sie den Cloudflare WARP-Client vom Cloudflare-Portal herunter.
2. Öffnen und starten Sie den Cloudflare WARP-Client nach der Installation.
3. Melden Sie sich an, wenn Sie dazu aufgefordert werden.
4. Nach erfolgreicher Anmeldung wird eine Seite mit der Meldung 'Success' (Erfolg) angezeigt.
5. Der WARP-Client sollte nun anzeigen, dass er mit Ihrem Zero Trust-Team verbunden ist.
6. Navigieren Sie zu Ihrem Webbrowser und geben Sie Ihre private IP-Adresse ein (z. B. 100.96.0.3). Das Hermes Web Dashboard sollte erfolgreich geladen werden.

Profi-Tipp für macOS-Nutzer: Wenn Sie den WARP-Client verwenden, um auf mehrere Cloudflare-Konten zuzugreifen, sehen Sie sich unsere Kurzanleitung an: Wechseln zwischen mehreren Cloudflare WARP-Profilen auf Mac, um einen nahtlosen Kontowechsel zu ermöglichen.

Schritt 7: Den Cloudflare WARP-Client auf iOS-Geräten installieren

1. Installieren Sie Cloudflare One aus dem App Store.
2. Öffnen Sie die Cloudflare One-App und geben Sie Ihren Teamnamen ein, wenn Sie dazu aufgefordert werden.
3. Melden Sie sich mit derselben E-Mail-Adresse an, die in der obigen Richtlinienregel konfiguriert wurde.
4. Sobald eine Verbindung hergestellt ist, sollte es folgendermaßen aussehen:
5. Navigieren Sie zu Ihrem Webbrowser und geben die private IP-Adresse 100.96.0.3 ein, um auf Ihrem Mobilgerät auf das Hermes Web Dashboard zuzugreifen.

Fazit

Da Cloudflare Zero Trust die Identitätsrichtlinien verwaltet und der WARP-Client den Datenverkehr über einen verschlüsselten Tunnel weiterleitet, ist Ihr Hermes Agent weltweit sicher von Ihren Geräten aus erreichbar. Dieses Setup bildet eine sichere, robuste Grundlage für den Aufbau und den Zugriff auf eine vollständig dezentrale, private KI-Infrastruktur.