Exposer Hermes Agent en privé via Cloudflare WARP

Un défi courant se pose lorsque vous souhaitez accéder à votre Hermes Agent depuis d'autres appareils tels que des ordinateurs portables, des tablettes ou des téléphones sans l'exposer à l'Internet public. L'utilisation de Cloudflare WARP avec Cloudflare Zero Trust vous permet d'exposer globalement le Hermes Agent sans ouvrir le moindre port entrant sur votre pare-feu.

Si vous avez suivi notre guide précédent, 'Comment déployer l'Agent Hermes sur un serveur VPS Linux', un Hermes Agent est déjà opérationnel 24h/24 et 7j/7. Au lieu de gérer la lourdeur des VPN traditionnels, nous allons utiliser le client Cloudflare WARP pour exposer le Hermes Agent à un réseau privé via Internet.

Comprendre l'architecture

Les composants en jeu :

1. Cloudflare Zero Trust : Le tableau de bord chez Cloudflare où vous définissez les règles de routage et les politiques d'accès.
2. Cloudflare WARP : L'application client installée sur vos appareils (VPS, ordinateurs portables, téléphones). Elle intercepte le trafic destiné à votre réseau privé et le route de manière sécurisée.

Prérequis

• Un Hermes Agent en cours d'exécution sur votre VPS.
• Un compte Cloudflare gratuit.

Guide étape par étape

Étape 1 : Configurer Cloudflare Zero Trust

1. Connectez-vous à votre Tableau de bord Cloudflare.
2. Cliquez sur 'Zero Trust' dans le menu de gauche.
3. Si c'est votre première fois, vous serez invité à choisir un forfait (le niveau Gratuit convient parfaitement à cette configuration) et à nommer votre équipe (par exemple, ai-team).
4. Cliquez sur 'Access' puis sur 'Policies' pour créer une politique d'accès définissant qui a accès au réseau.
5. Cliquez sur 'Create new policy'.
6. Sélectionnez 'Emails' et entrez votre adresse e-mail sous 'Policy rules'.

Étape 2 : Configurer le client Cloudflare WARP sur le VPS

1. Exécutez sudo apt update et sudo apt install cloudflare-warp dans le terminal de votre VPS.
2. Exécutez warp-cli registration new <TEAM-NAME> dans le terminal de votre VPS, ce qui affichera une URL.
3. Copiez l'URL affichée, qui ressemblera à https://<team>.cloudflareaccess.com/warp, et collez-la dans votre navigateur pour l'authentification.
4. L'authentification par e-mail étant utilisée dans la configuration de la politique ci-dessus, entrez votre e-mail pour vous authentifier.
5. Sur la page 'Success' (Succès) du navigateur, faites un clic droit et sélectionnez 'Inspect' (Inspecter) sur le bouton bleu 'Open Cloudflare WARP'.
6. Copiez le long jeton (token) qui est indiqué dans le lien du bouton.
7. Exécutez warp-cli --accept-tos registration token "https://<team>.cloudflareaccess.com/auth?token=<copied_token>" dans le terminal de votre VPS pour le connecter à Cloudflare Zero Trust.
   Si vous rencontrez l'erreur 'Error: Failed to communicate with the WARP API' sur Ubuntu 26, exécutez les commandes suivantes :

   sudo systemctl restart warp-svc.service
   
   # Check status
   sudo systemctl status warp-svc.service
   
   # Run the warp-cli registration token again
   warp-cli --accept-tos registration token   "https://<team>.cloudflareaccess.com/auth?token=<copied_token>"
   

8. Retournez au tableau de bord Cloudflare Zero Trust et cliquez sur 'Devices' (Appareils). Votre appareil VPS devrait maintenant s'afficher.

Étape 3 : Configurer le routage du trafic

1. Cliquez sur le profil de votre VPS dans le tableau de bord Devices.
2. Faites défiler jusqu'à la section 'Split Tunnels' (Tunnels divisés).
3. Cliquez sur the bouton 'Manage' (Gérer) et configurez les paramètres comme indiqué ci-dessous. Remplacez l'adresse IP si nécessaire.
4. Exposer l'address (adresse) et le host (hôte) acheminera le trafic vers vos services sur le même réseau privé.

Étape 4 : Configurer le pare-feu sur le VPS

Activez le pare-feu pour n'autoriser que le sous-réseau '100.96.0.0/12', en bloquant tout autre accès public entrant.

sudo ufw enable 
sudo ufw default allow outgoing 
sudo ufw default deny incoming
sudo ufw allow in from 100.96.0.0/12

Autorisez le trafic loopback pour éviter de perturber les services locaux :

sudo ufw allow in on lo
sudo ufw allow out on lo

Rechargez le pare-feu et vérifiez son statut :

sudo ufw reload 
sudo ufw status verbose

Étape 5 : Exposer Hermes Agent au réseau privé

Nous allons exposer le Hermes Agent Web Dashboard à notre réseau privé et utiliser le fournisseur d'authentification par défaut, Nous Research.

Configurer le fournisseur d'authentification

1. Rendez-vous sur portal.nousresearch.com pour créer un compte.
2. Sélectionnez 'Local Dashboards' (Tableaux de bord locaux).
3. Cliquez sur 'Register Dashboard' (Enregistrer le tableau de bord).
4. Entrez l'adresse IP du réseau privé de votre VPS comme 'Dashboard redirect URI' (URI de redirection du tableau de bord) et cliquez sur 'Save' (Enregistrer).
5. Copiez le 'OAuth client ID' et collez-le dans votre fichier config.yaml :

dashboard:
  theme: default
  show_token_analytics: false
  oauth:
    client_id: agent:cmq02x7ha0002jk0ba3kfnb
    portal_url: https://portal.nousresearch.com
  basic_auth:
    username: ''
    password_hash: ''

Configurer Systemd pour démarrer automatiquement le tableau de bord Hermes

1. Créez un fichier de service :

sudo nano /etc/systemd/system/hermes-dashboard.service

2. Collez la configuration suivante, en vous assurant que --host 0.0.0.0 fait partie de la commande :

[Unit]
Description=Hermes Dashboard
After=network.target

[Service]
User=hermes
WorkingDirectory=/home/hermes
ExecStart=/home/hermes/.local/bin/hermes dashboard --host 0.0.0.0
Restart=always
RestartSec=10
Environment=PATH=/home/hermes/.local/bin:/usr/local/bin:/usr/bin:/bin

[Install]
WantedBy=multi-user.target

3. Activez et démarrez le service :

sudo systemctl daemon-reload
sudo systemctl enable hermes-dashboard
sudo systemctl start hermes-dashboard
sudo systemctl status hermes-dashboard

Étape 6 : Installer le client Cloudflare WARP sur l'ordinateur

1. Téléchargez le client Cloudflare WARP depuis le portail de Cloudflare.
2. Ouvrez et lancez le client Cloudflare WARP après l'installation.
3. Connectez-vous lorsque vous y êtes invité.
4. Une page 'Success' (Succès) s'affichera après une connexion réussie.
5. Le client WARP devrait maintenant indiquer qu'il est connecté à votre équipe Zero Trust.
6. Accédez à votre navigateur web et entrez votre IP privée (par exemple, 100.96.0.3). Le Hermes Web Dashboard devrait se charger avec succès.

Conseil de pro pour les utilisateurs macOS : Si vous utilisez le client WARP pour accéder à plusieurs comptes Cloudflare, consultez notre guide rapide sur Basculer entre plusieurs profils Cloudflare WARP sur macOS pour passer d'un compte à l'autre en toute fluidité.

Étape 7 : Installer le client Cloudflare WARP sur les appareils iOS

1. Installez Cloudflare One depuis l'App Store.
2. Ouvrez l'application Cloudflare One et entrez le nom de votre équipe lorsque vous y êtes invité.
3. Connectez-vous en utilisant la même adresse e-mail que celle configurée dans la règle de politique ci-dessus.
4. Une fois connecté, cela devrait ressembler à ceci :
5. Accédez à votre navigateur web et entrez l'IP privée 100.96.0.3 pour accéder au Hermes Web Dashboard sur votre appareil mobile.

Conclusion

Avec Cloudflare Zero Trust gérant les politiques d'identité et le client WARP acheminant le trafic via un tunnel crypté, votre Hermes Agent est accessible de manière sécurisée depuis vos appareils dans le monde entier. Cette configuration pose des fondations sécurisées et robustes pour créer et accéder à une infrastructure d'IA privée et entièrement à distance.