教學：使用 Cloudflare WARP 安全地將 Hermes Agent 暴露至私有網路

當我們希望透過筆記型電腦、平板或手機等其他設備存取 Hermes Agent，同時又不想將其暴露在公共網際網路上時，這往往是一個普遍的挑戰。利用 Cloudflare WARP 與 Cloudflare Zero Trust，您可以在無需打開任何防火牆入站連接埠的情況下，將其安全地暴露並在全球範圍內進行存取。

如果您之前已經閱讀並遵循了我們的指南 '如何在 Linux VPS 上部署 Hermes Agent'，那麼您應該大約擁有了一個全天候運行的 Hermes Agent。相比於設定傳統 VPN 帶來的繁瑣步驟，我們將使用 Cloudflare WARP 用戶端，透過網際網路將 Hermes Agent 暴露到私有網路中。

架構解析

此方案涉及的兩個核心組件：

1. Cloudflare Zero Trust：Cloudflare 的雲端儀表板，您可以在此定義路由規則和存取策略。
2. Cloudflare WARP：安裝在您的設備（VPS、筆記型電腦、手機）上的用戶端應用程式。它能夠攔截發往私有網路的流量，並安全地進行路由。

前置條件

• 一台已經運行 Hermes Agent 的 VPS（虛擬專屬伺服器）。
• 一個免費的 Cloudflare 帳號。

詳細步驟指南

第 1 步：設定 Cloudflare Zero Trust

1. 登入您的 Cloudflare 儀表板 (Dashboard)。
2. 點擊左側選單欄中的 'Zero Trust'。
3. 如果這是您第一次使用，系統會提示您選擇方案（免費版對本教學完全足夠）並為您的團隊命名（例如，ai-team）。
4. 點擊 'Access'，然后點擊 'Policies' 來建立存取策略，以定義誰有權限存取網路。
5. 點击 'Create new policy'。
6. 選擇 'Emails' 並在 'Policy rules' 下方輸入您的電子郵件地址。

第 2 步：在 VPS 上設定 Cloudflare WARP 用戶端

1. 在 VPS 終端機中執行 sudo apt update 和 sudo apt install cloudflare-warp。
2. 在 VPS 終端機中執行 warp-cli registration new <TEAM-NAME>，該指令將輸出一個 URL。
3. 複製輸出的 URL（其格式類似於 https://<team>.cloudflareaccess.com/warp），並將其貼上到瀏覽器中進行認證。
4. 由於前面的策略設定中使用了電子郵件認證，請輸入您的電子郵件以進行認證。
5. 當瀏覽器中顯示 'Success' 頁面後，右鍵點擊藍色的 'Open Cloudflare WARP' 按鈕並選擇「檢查 (Inspect)」。
6. 複製該按鈕連結中的長 Token 字串。
7. 在 VPS 終端機中執行 warp-cli --accept-tos registration token "https://<team>.cloudflareaccess.com/auth?token=<copied_token>"，將您的 VPS 連接到 Cloudflare Zero Trust。
   如果在 Ubuntu 26 上遇到 'Error: Failed to communicate with the WARP API'，請執行以下命令：

   sudo systemctl restart warp-svc.service
   
   # Check status
   sudo systemctl status warp-svc.service
   
   # Run the warp-cli registration token again
   warp-cli --accept-tos registration token   "https://<team>.cloudflareaccess.com/auth?token=<copied_token>"
   

8. 回到 Cloudflare Zero Trust 儀表板，點擊 'Devices'。您現在應該能看到您的 VPS 設備。

第 3 步：設定流量路由

1. 在 Devices 儀表板中點擊您 VPS 設備的設定檔。
2. 向下捲動至 'Split Tunnels' 部分。
3. 點擊 'Manage' 按鈕，並按照下圖設定。如有需要請替換相應的 IP 位址。
4. 暴露 address 和 host 會將發往您服務的流量路由到該私有網路內。

第 4 步：設定 VPS 防火牆

啟用防火牆，僅允許 '100.96.0.0/12' 子網的流量通過，並阻擋其他所有公共入站存取。

sudo ufw enable 
sudo ufw default allow outgoing 
sudo ufw default deny incoming
sudo ufw allow in from 100.96.0.0/12

允許回環網路 (loopback) 的流量，避免導致本地服務異常：

sudo ufw allow in on lo
sudo ufw allow out on lo

重新載入防火牆規則並驗證狀態：

sudo ufw reload 
sudo ufw status verbose

第 5 步：將 Hermes Agent 暴露至私有網路

我們將把 Hermes Agent Web Dashboard 暴露至私有網路，並使用預設的認證提供商 Nous Research。

設定認證提供商

1. 前往 portal.nousresearch.com 註冊一個帳號。
2. 選擇 'Local Dashboards'。
3. 點擊 'Register Dashboard'。
4. 將 VPS 在私有網路中的 IP 位址填入 'Dashboard redirect URI' 並點擊 'Save'。
5. 複製 'OAuth client ID' 並將其貼上到您的 config.yaml 檔案中：

dashboard:
  theme: default
  show_token_analytics: false
  oauth:
    client_id: agent:cmq02x7ha0002jk0ba3kfnb
    portal_url: https://portal.nousresearch.com
  basic_auth:
    username: ''
    password_hash: ''

使用 Systemd 確保 Hermes Dashboard 開機自啟

1. 建立服務檔案：

sudo nano /etc/systemd/system/hermes-dashboard.service

2. 貼上以下設定，確保 --host 0.0.0.0 包含在指令中：

[Unit]
Description=Hermes Dashboard
After=network.target

[Service]
User=hermes
WorkingDirectory=/home/hermes
ExecStart=/home/hermes/.local/bin/hermes dashboard --host 0.0.0.0
Restart=always
RestartSec=10
Environment=PATH=/home/hermes/.local/bin:/usr/local/bin:/usr/bin:/bin

[Install]
WantedBy=multi-user.target

3. 啟用並啟動服务：

sudo systemctl daemon-reload
sudo systemctl enable hermes-dashboard
sudo systemctl start hermes-dashboard
sudo systemctl status hermes-dashboard

第 6 步：在桌面上安裝 Cloudflare WARP 用戶端

1. 從 Cloudflare 官網 下載 Cloudflare WARP 用戶端。
2. 安裝完成後打開並執行 Cloudflare WARP 用戶端。
3. 依提示登入。
4. 登入成功後會顯示 'Success' 頁面。
5. 此時 WARP 用戶端應顯示已連接至您的 Zero Trust 团队。
6. 在瀏覽器中輸入您的私有 IP 位址（例如 100.96.0.3），即可成功載入 Hermes Web Dashboard。

macOS 用戶進階提示： 如果您需要使用 WARP 用戶端存取多個 Cloudflare 帳號，請參閱我們的快速指南 使用MDM設定檔在macOS上無縫切換與設定多個Cloudflare WARP零信任組織的完整教學指南，實現帳號間的無縫切換。

第 7 步：在 iOS 設備上安裝 Cloudflare WARP 用戶端

1. 在 App Store 中安裝 Cloudflare One。
2. 打開 Cloudflare One 應用程式並在提示時輸入您的團隊名稱。
3. 使用前面在策略規則中設定的同一個電子郵件地址進行登入。
4. 連接成功後，介面應如下所示：
5. 在手機瀏覽器中輸入私有 IP 100.96.0.3 即可在行動設備上存取 Hermes Web Dashboard。

結語

藉助 Cloudflare Zero Trust 管理身分策略以及 WARP 用戶端透過加密隧道路由流量，您的 Hermes Agent 現在可以被您的設備在全球範圍內安全存取。該配置為構建並存取完全遠端、私有的 AI 基礎架構奠定了堅實而安全的根基。