Cómo exponer Hermes Agent de forma privada con WARP

Un desafío común surge cuando desea acceder a su Hermes Agent desde otros dispositivos como portátiles, tabletas o teléfonos sin exponerlo a la Internet pública. El uso de Cloudflare WARP junto con Cloudflare Zero Trust le permite exponer el Hermes Agent a nivel mundial sin necesidad de abrir un solo puerto de entrada en su firewall.

Si siguió nuestra guía anterior, 'Cómo desplegar Hermes Agent en un servidor VPS con Linux', ya tendrá un Hermes Agent funcionando 24/7. En lugar de lidiar con la sobrecarga de las VPN tradicionales, usaremos el cliente Cloudflare WARP para exponer el Hermes Agent a una red privada a través de Internet.

Comprender la arquitectura

Los componentes en juego:

1. Cloudflare Zero Trust: El panel de control en Cloudflare donde define reglas de enrutamiento y políticas de acceso.
2. Cloudflare WARP: La aplicación cliente instalada en sus dispositivos (VPS, portátiles, teléfonos). Intercepta el tráfico destinado a su red privada y lo enruta de forma segura.

Requisitos previos

• Un Hermes Agent en ejecución en su VPS.
• Una cuenta gratuita de Cloudflare.

Guía paso a paso

Paso 1: Configurar Cloudflare Zero Trust

1. Inicie sesión en su Panel de Cloudflare.
2. Haga clic en 'Zero Trust' en el menú de la izquierda.
3. Si es su primera vez, se le pedirá que elija un plan (el nivel Gratuito es perfectamente válido para esta configuración) y que asigne un nombre a su equipo (por ejemplo, ai-team).
4. Haga clic en 'Access' y luego en 'Policies' para crear una política de acceso que defina quién tiene acceso a la red.
5. Haga clic en 'Create new policy'.
6. Seleccione 'Emails' e introduzca su correo electrónico en 'Policy rules'.

Paso 2: Configurar el cliente Cloudflare WARP en el VPS

1. Ejecute sudo apt update y sudo apt install cloudflare-warp en la terminal de su VPS.
2. Ejecute warp-cli registration new <TEAM-NAME> en la terminal de su VPS, lo cual imprimirá una URL.
3. Copie la URL impresa, que se verá como https://<team>.cloudflareaccess.com/warp, y péguela en su navegador para la autenticación.
4. Dado que se utiliza la autenticación por correo electrónico en la configuración de la política anterior, introduzca su correo para autenticarse.
5. En la página de 'Success' (Éxito) en el navegador, haga clic derecho y seleccione 'Inspect' (Inspeccionar) en el botón azul 'Open Cloudflare WARP'.
6. Copie el token largo que se muestra en el enlace del botón.
7. Ejecute warp-cli --accept-tos registration token "https://<team>.cloudflareaccess.com/auth?token=<copied_token>" en la terminal de su VPS para conectarlo a Cloudflare Zero Trust.
   Si encuentra el error 'Error: Failed to communicate with the WARP API' en Ubuntu 26, ejecute los siguientes comandos:

   sudo systemctl restart warp-svc.service
   
   # Check status
   sudo systemctl status warp-svc.service
   
   # Run the warp-cli registration token again
   warp-cli --accept-tos registration token   "https://<team>.cloudflareaccess.com/auth?token=<copied_token>"
   

8. Vuelva al panel de Cloudflare Zero Trust y haga clic en 'Devices' (Dispositivos). Su dispositivo VPS debería aparecer ahora.

Paso 3: Configurar el enrutamiento del tráfico

1. Haga clic en el perfil de su VPS en el panel de Dispositivos.
2. Desplácese hacia abajo hasta la sección 'Split Tunnels' (Túneles divididos).
3. Haga clic en el botón 'Manage' (Administrar) y configure los ajustes como se muestra a continuación. Reemplace la dirección IP si es necesario.
4. Exponer la address (dirección) y el host enrutará el tráfico a sus servicios a través de la misma red privada.

Paso 4: Configurar el firewall en el VPS

Habilite el firewall para permitir únicamente la subred '100.96.0.0/12', bloqueando el resto del acceso público entrante.

sudo ufw enable 
sudo ufw default allow outgoing 
sudo ufw default deny incoming
sudo ufw allow in from 100.96.0.0/12

Permita el tráfico loopback para evitar interrumpir los servicios locales:

sudo ufw allow in on lo
sudo ufw allow out on lo

Recargue el firewall y verifique el estado:

sudo ufw reload 
sudo ufw status verbose

Paso 5: Exponer Hermes Agent a la red privada

Expondremos el Hermes Agent Web Dashboard a nuestra red privada y usaremos el proveedor de autenticación predeterminado, Nous Research.

Configurar el proveedor de autenticación

1. Diríjase a portal.nousresearch.com para registrar una cuenta.
2. Seleccione 'Local Dashboards' (Paneles locales).
3. Haga clic en 'Register Dashboard' (Registrar panel).
4. Introduzca la dirección IP de la red privada de su VPS como la 'Dashboard redirect URI' (URI de redireccionamiento del panel) y haga clic en 'Save' (Guardar).
5. Copie el 'OAuth client ID' y péguelo en su archivo config.yaml:

dashboard:
  theme: default
  show_token_analytics: false
  oauth:
    client_id: agent:cmq02x7ha0002jk0ba3kfnb
    portal_url: https://portal.nousresearch.com
  basic_auth:
    username: ''
    password_hash: ''

Configurar Systemd para iniciar automáticamente el panel de Hermes

1. Cree un archivo de servicio:

sudo nano /etc/systemd/system/hermes-dashboard.service

2. Pegue la siguiente configuración, asegurándose de que --host 0.0.0.0 sea parte del comando:

[Unit]
Description=Hermes Dashboard
After=network.target

[Service]
User=hermes
WorkingDirectory=/home/hermes
ExecStart=/home/hermes/.local/bin/hermes dashboard --host 0.0.0.0
Restart=always
RestartSec=10
Environment=PATH=/home/hermes/.local/bin:/usr/local/bin:/usr/bin:/bin

[Install]
WantedBy=multi-user.target

3. Habilite e inicie el servicio:

sudo systemctl daemon-reload
sudo systemctl enable hermes-dashboard
sudo systemctl start hermes-dashboard
sudo systemctl status hermes-dashboard

Paso 6: Instalar el cliente Cloudflare WARP en el escritorio

1. Descargue el cliente Cloudflare WARP desde el portal de Cloudflare.
2. Abra e inicie el cliente Cloudflare WARP después de la instalación.
3. Inicie sesión cuando se le solicite.
4. Se mostrará una página de 'Success' (Éxito) después de un inicio de sesión exitoso.
5. El cliente WARP ahora debería mostrar que está conectado a su equipo de Zero Trust.
6. Navegue a su navegador web e introduzca su IP privada (por ejemplo, 100.96.0.3). El Hermes Web Dashboard debería cargarse con éxito.

Consejo profesional para usuarios de macOS: Si está utilizando el cliente WARP para acceder a varias cuentas de Cloudflare, consulte nuestra guía rápida sobre Cambiar entre múltiples perfiles de Cloudflare WARP en macOS para cambiar de cuenta sin problemas.

Paso 7: Instalar el cliente Cloudflare WARP en dispositivos iOS

1. Instale Cloudflare One desde la App Store.
2. Abra la aplicación Cloudflare One e introduzca el nombre de su equipo cuando se le solicite.
3. Inicie sesión utilizando la misma dirección de correo electrónico que se configuró en la regla de política anterior.
4. Una vez conectado, debería verse así:
5. Navegue a su navegador web e introduzca la IP privada 100.96.0.3 para acceder al Hermes Web Dashboard en su dispositivo móvil.

Conclusión

Con Cloudflare Zero Trust manejando las políticas de identidad y el cliente WARP enrutando el tráfico a través de un túnel cifrado, su Hermes Agent es accesible de forma segura desde sus dispositivos en todo el mundo. Esta configuración establece una base segura y robusta para construir y acceder a una infraestructura de IA privada y totalmente remota.