Expor o Hermes Agent em rede privada com Cloudflare WARP

Um desafio comum surge quando você deseja acessar seu Hermes Agent de outros dispositivos, como notebooks, tablets ou telefones, sem expô-lo à internet pública. Utilizar o Cloudflare WARP com o Cloudflare Zero Trust permite que você exponha o Hermes Agent globalmente sem abrir uma única porta de entrada no seu firewall.

Se você seguiu nosso guia anterior, 'Como instalar e configurar o Hermes Agent em um VPS Linux', um Hermes Agent já está instalado e funcionando 24 horas por dia. Em vez de lidar com a complexidade das VPNs tradicionais, usaremos o cliente Cloudflare WARP para expor o Hermes Agent a uma rede privada pela internet.

Entendendo a Arquitetura

Os componentes em ação:

1. Cloudflare Zero Trust: O painel de controle da Cloudflare onde você define regras de roteamento e políticas de acesso.
2. Cloudflare WARP: O aplicativo cliente instalado em seus dispositivos (VPS, notebooks, telefones). Ele intercepta o tráfego destinado à sua rede privada e o roteia com segurança.

Pré-requisitos

• Um Hermes Agent em execução no seu VPS.
• Uma conta gratuita da Cloudflare.

Guia Passo a Passo

Passo 1: Configurar o Cloudflare Zero Trust

1. Faça login no seu Painel da Cloudflare.
2. Clique em 'Zero Trust' no menu à esquerda.
3. Se esta for sua primeira vez, você será solicitado a escolher um plano (o nível Gratuito atende perfeitamente a essa configuração) e dar um nome à sua equipe (ex., ai-team).
4. Clique em 'Access' e depois em 'Policies' para criar uma política de acesso definindo quem tem acesso à rede.
5. Clique em 'Create new policy'.
6. Selecione 'Emails' e insira seu e-mail em 'Policy rules'.

Passo 2: Configurar o cliente Cloudflare WARP no VPS

1. Execute sudo apt update e sudo apt install cloudflare-warp no terminal do seu VPS.
2. Execute warp-cli registration new <TEAM-NAME> no terminal do seu VPS, o que exibirá um URL.
3. Copie o URL gerado, que será parecido com https://<team>.cloudflareaccess.com/warp, e cole-o no seu navegador para autenticação.
4. Como a autenticação por e-mail foi definida na configuração da política acima, insira seu e-mail para autenticar.
5. Na página de 'Success' (Colaboração bem-sucedida) no navegador, clique com o botão direito e selecione 'Inspect' (Inspecionar) no botão azul 'Open Cloudflare WARP'.
6. Copie o token longo que aparece no link do botão.
7. Execute warp-cli --accept-tos registration token "https://<team>.cloudflareaccess.com/auth?token=<copied_token>" no terminal do seu VPS para conectá-lo ao Cloudflare Zero Trust.
   Se encontrar o 'Error: Failed to communicate with the WARP API' no Ubuntu 26, execute os seguintes comandos:

   sudo systemctl restart warp-svc.service
   
   # Check status
   sudo systemctl status warp-svc.service
   
   # Run the warp-cli registration token again
   warp-cli --accept-tos registration token   "https://<team>.cloudflareaccess.com/auth?token=<copied_token>"
   

8. Volte ao painel do Cloudflare Zero Trust e clique em 'Devices' (Dispositivos). O dispositivo do seu VPS deve ser exibido agora.

Passo 3: Configurar o roteamento de tráfego

1. Clique no perfil do seu VPS no painel de Dispositivos.
2. Role para baixo até a seção 'Split Tunnels' (Túneis divididos).
3. Clique no botão 'Manage' (Gerenciar) e defina as configurações conforme mostrado abaixo. Substitua o endereço IP, se necessário.
4. Expor o address (endereço) e o host roteará o tráfego para seus serviços pela mesma rede privada.

Passo 4: Configurar o Firewall no VPS

Habilite o firewall para permitir apenas a sub-rede '100.96.0.0/12', bloqueando qualquer outro acesso público de entrada.

sudo ufw enable 
sudo ufw default allow outgoing 
sudo ufw default deny incoming
sudo ufw allow in from 100.96.0.0/12

Permita o tráfego de loopback para evitar a interrupção de serviços locais:

sudo ufw allow in on lo
sudo ufw allow out on lo

Recarregue o firewall e verifique o status:

sudo ufw reload 
sudo ufw status verbose

Passo 5: Expor o Hermes Agent à Rede Privada

Vamos expor o Hermes Agent Web Dashboard à nossa rede privada e usar o provedor de autenticação padrão, Nous Research.

Configurar o provedor de autenticação

1. Vá até portal.nousresearch.com para registrar uma conta.
2. Selecione 'Local Dashboards' (Painéis locais).
3. Clique em 'Register Dashboard' (Registrar painel).
4. Insira o endereço IP da rede privada do seu VPS como a 'Dashboard redirect URI' (URI de redirecionamento do painel) e clique em 'Save' (Salvar).
5. Copie o 'OAuth client ID' e cole-o em seu arquivo config.yaml:

dashboard:
  theme: default
  show_token_analytics: false
  oauth:
    client_id: agent:cmq02x7ha0002jk0ba3kfnb
    portal_url: https://portal.nousresearch.com
  basic_auth:
    username: ''
    password_hash: ''

Configurar o Systemd para Iniciar Automaticamente o Painel do Hermes

1. Crie um arquivo de serviço:

sudo nano /etc/systemd/system/hermes-dashboard.service

2. Cole a seguinte configuração, garantindo que --host 0.0.0.0 faça parte do comando:

[Unit]
Description=Hermes Dashboard
After=network.target

[Service]
User=hermes
WorkingDirectory=/home/hermes
ExecStart=/home/hermes/.local/bin/hermes dashboard --host 0.0.0.0
Restart=always
RestartSec=10
Environment=PATH=/home/hermes/.local/bin:/usr/local/bin:/usr/bin:/bin

[Install]
WantedBy=multi-user.target

3. Habilite e inicie o serviço:

sudo systemctl daemon-reload
sudo systemctl enable hermes-dashboard
sudo systemctl start hermes-dashboard
sudo systemctl status hermes-dashboard

Passo 6: Instalar o cliente Cloudflare WARP no Desktop

1. Baixe o cliente Cloudflare WARP pelo portal da Cloudflare.
2. Abra e inicie o cliente Cloudflare WARP após a instalação.
3. Faça login quando solicitado.
4. Uma página de 'Success' (Sucesso) será exibida após o login.
5. O cliente WARP agora deve mostrar que está conectado à sua equipe do Zero Trust.
6. Navegue até o seu navegador e insira o seu IP privado (ex., 100.96.0.3). O Hermes Web Dashboard deve ser carregado com sucesso.

Dica de profissional para usuários do macOS: Se você estiver usando o cliente WARP para acessar várias contas da Cloudflare, confira nosso guia rápido sobre Alternar entre múltiplos perfis do Cloudflare WARP no macOS para alternar entre as contas sem problemas.

Passo 7: Instalar o cliente Cloudflare WARP em Dispositivos iOS

1. Instale o Cloudflare One através da App Store.
2. Abra o aplicativo Cloudflare One e insira o nome da sua equipe quando solicitado.
3. Faça login usando o mesmo endereço de e-mail que foi configurado na regra de política acima.
4. Assim que estiver conectado, a tela deve ficar parecida com isto:
5. Navegue até o seu navegador e insira o IP privado 100.96.0.3 para acessar o Hermes Web Dashboard no seu dispositivo móvel.

Conclusão

Com o Cloudflare Zero Trust gerenciando as políticas de identidade e o cliente WARP roteando o tráfego por um túnel criptografado, o seu Hermes Agent estará acessível de forma segura a partir dos seus dispositivos no mundo todo. Esta configuração estabelece uma base segura e robusta para criar e acessar uma infraestrutura de IA privada totalmente remota.