Cách hiển thị riêng tư Hermes Agent với Cloudflare WARP

Một thách thức phổ biến nảy sinh khi bạn muốn truy cập Hermes Agent của mình từ các thiết bị khác như máy tính xách tay, máy tính bảng hoặc điện thoại mà không làm lộ nó với mạng internet công cộng. Việc tận dụng Cloudflare WARP cùng với Cloudflare Zero Trust cho phép bạn hiển thị Hermes Agent trên toàn cầu mà không cần mở bất kỳ cổng đến (inbound port) nào trên tường lửa của mình.

Nếu bạn đã làm theo hướng dẫn trước đây của chúng tôi, 'Hướng dẫn cài đặt và triển khai Hermes Agent trên VPS Linux', thì Hermes Agent của bạn đã được thiết lập và chạy 24/7. Thay vì phải xử lý sự phức tạp của VPN truyền thống, chúng ta sẽ sử dụng máy khách Cloudflare WARP để kết nối Hermes Agent vào mạng riêng (private network) qua internet.

Hiểu về Kiến trúc

Các thành phần đang hoạt động:

1. Cloudflare Zero Trust: Bảng điều khiển tại Cloudflare, nơi bạn xác định các quy tắc định tuyến và chính sách truy cập.
2. Cloudflare WARP: Ứng dụng máy khách được cài đặt trên các thiết bị của bạn (VPS, máy tính xách tay, điện thoại). Nó sẽ chặn lưu lượng truy cập được gửi tới mạng riêng của bạn và định tuyến nó một cách an toàn.

Điều kiện tiên quyết

• Một Hermes Agent đang chạy trên VPS của bạn.
• Một tài khoản Cloudflare miễn phí.

Hướng dẫn Từng bước

Bước 1: Thiết lập Cloudflare Zero Trust

1. Đăng nhập vào Bảng điều khiển Cloudflare của bạn.
2. Nhấp vào 'Zero Trust' từ menu bên trái.
3. Nếu đây là lần đầu tiên, bạn akan được nhắc chọn một gói (bản Miễn phí hoàn toàn phù hợp cho thiết lập này) và đặt tên cho nhóm của bạn (ví dụ: ai-team).
4. Nhấp vào 'Access' rồi chọn 'Policies' để tạo một chính sách truy cập, xác định những ai có quyền truy cập vào mạng.
5. Nhấp vào 'Create new policy'.
6. Chọn 'Emails' và nhập email của bạn dưới mục 'Policy rules'.

Bước 2: Thiết lập máy khách Cloudflare WARP trên VPS

1. Chạy sudo apt update và sudo apt install cloudflare-warp trong terminal trên VPS của bạn.
2. Chạy warp-cli registration new <TEAM-NAME> trong terminal trên VPS của bạn, một URL sẽ được in ra.
3. Sao chép URL vừa được in, nó sẽ có dạng https://<team>.cloudflareaccess.com/warp, và dán vào trình duyệt của bạn để tiến hành xác thực.
4. Vì phương thức xác thực bằng email đã được cấu hình trong bước trước, hãy nhập email của bạn để xác thực.
5. Trên trang 'Success' (Thành công) trong trình duyệt, hãy nhấp chuột phải và chọn 'Inspect' (Kiểm tra) ở nút màu xanh 'Open Cloudflare WARP'.
6. Sao chép chuỗi mã token dài nằm trong liên kết của nút.
7. Chạy warp-cli --accept-tos registration token "https://<team>.cloudflareaccess.com/auth?token=<copied_token>" trong terminal trên VPS của bạn để kết nối nó với Cloudflare Zero Trust.
   Nếu gặp lỗi 'Error: Failed to communicate with the WARP API' trên Ubuntu 26, hãy chạy các lệnh sau:

   sudo systemctl restart warp-svc.service
   
   # Check status
   sudo systemctl status warp-svc.service
   
   # Run the warp-cli registration token again
   warp-cli --accept-tos registration token   "https://<team>.cloudflareaccess.com/auth?token=<copied_token>"
   

8. Quay trở lại bảng điều khiển Cloudflare Zero Trust, và nhấp vào 'Devices' (Thiết bị). Thiết bị VPS của bạn lúc này sẽ được hiển thị.

Bước 3: Thiết lập Định tuyến Lưu lượng

1. Nhấp vào cấu hình VPS của bạn trên bảng điều khiển Devices.
2. Cuộn xuống phần 'Split Tunnels'.
3. Nhấp vào nút 'Manage' (Quản lý) và định cấu hình các thiết lập như minh họa bên dưới. Thay thế địa chỉ IP nếu cần.
4. Hiển thị address và host sẽ định tuyến lưu lượng truy cập tới các dịch vụ của bạn trên cùng một mạng riêng.

Bước 4: Cấu hình Tường lửa trên VPS

Bật tường lửa để chỉ cho phép mạng con '100.96.0.0/12', đồng thời chặn tất cả các quyền truy cập công cộng đến khác.

sudo ufw enable 
sudo ufw default allow outgoing 
sudo ufw default deny incoming
sudo ufw allow in from 100.96.0.0/12

Cho phép lưu lượng loopback (quay vòng) để tránh làm hỏng các dịch vụ cục bộ:

sudo ufw allow in on lo
sudo ufw allow out on lo

Tải lại tường lửa và xác minh trạng thái:

sudo ufw reload 
sudo ufw status verbose

Bước 5: Hiển thị Hermes Agent vào Mạng Riêng

Chúng ta sẽ hiển thị Hermes Agent Web Dashboard vào mạng riêng của mình và sử dụng nhà cung cấp xác thực mặc định là Nous Research.

Thiết lập Nhà cung cấp Xác thực

1. Đi tới portal.nousresearch.com để đăng ký một tài khoản.
2. Chọn 'Local Dashboards'.
3. Nhấp vào 'Register Dashboard'.
4. Nhập địa chỉ IP mạng riêng của VPS của bạn làm 'Dashboard redirect URI' và nhấp vào 'Save'.
5. Sao chép 'OAuth client ID' và dán nó vào tệp config.yaml của bạn:

dashboard:
  theme: default
  show_token_analytics: false
  oauth:
    client_id: agent:cmq02x7ha0002jk0ba3kfnb
    portal_url: https://portal.nousresearch.com
  basic_auth:
    username: ''
    password_hash: ''

Thiết lập Systemd để Tự khởi động Bảng điều khiển Hermes

1. Tạo một tệp dịch vụ:

sudo nano /etc/systemd/system/hermes-dashboard.service

2. Dán cấu hình sau, đảm bảo --host 0.0.0.0 là một phần của lệnh:

[Unit]
Description=Hermes Dashboard
After=network.target

[Service]
User=hermes
WorkingDirectory=/home/hermes
ExecStart=/home/hermes/.local/bin/hermes dashboard --host 0.0.0.0
Restart=always
RestartSec=10
Environment=PATH=/home/hermes/.local/bin:/usr/local/bin:/usr/bin:/bin

[Install]
WantedBy=multi-user.target

3. Bật và khởi động dịch vụ:

sudo systemctl daemon-reload
sudo systemctl enable hermes-dashboard
sudo systemctl start hermes-dashboard
sudo systemctl status hermes-dashboard

Bước 6: Cài đặt Máy khách Cloudflare WARP trên Máy tính bàn

1. Tải xuống máy khách Cloudflare WARP từ cổng thông tin của Cloudflare.
2. Mở và khởi chạy máy khách Cloudflare WARP sau khi cài đặt.
3. Đăng nhập khi được nhắc.
4. Một trang 'Success' (Thành công) sẽ được hiển thị sau khi đăng nhập thành công.
5. Máy khách WARP hiện sẽ cho thấy nó đã được kết nối với nhóm Zero Trust của bạn.
6. Điều hướng đến trình duyệt web của bạn và nhập IP riêng (ví dụ: 100.96.0.3). Bảng điều khiển Hermes Web sẽ tải thành công.

Mẹo hữu ích cho Người dùng macOS: Nếu bạn đang sử dụng máy khách WARP để truy cập nhiều tài khoản Cloudflare, hãy xem hướng dẫn nhanh của chúng tôi về Chuyển đổi giữa các tổ chức Cloudflare WARP trên máy Mac để chuyển đổi giữa các tài khoản một cách liền mạch.

Bước 7: Cài đặt Máy khách Cloudflare WARP trên Thiết bị iOS

1. Cài đặt Cloudflare One từ App Store.
2. Mở ứng dụng Cloudflare One và nhập tên nhóm của bạn khi được nhắc.
3. Đăng nhập bằng cùng một địa chỉ email đã được định cấu hình trong quy tắc chính sách ở trên.
4. Sau khi được kết nối, nó sẽ trông giống như sau:
5. Điều hướng đến trình duyệt web của bạn và nhập IP riêng 100.96.0.3 để truy cập Bảng điều khiển Hermes Web trên thiết bị di động của bạn.

Phần Kết luận

Với Cloudflare Zero Trust xử lý các chính sách nhận dạng và máy khách WARP định tuyến lưu lượng truy cập qua một đường hầm mã hóa, Hermes Agent của bạn đã có thể được truy cập an toàn từ các thiết bị của bạn trên phạm vi toàn cầu. Thiết lập này đặt nền móng an toàn và vững chắc cho việc xây dựng và truy cập một cơ sở hạ tầng AI riêng tư, vận hành hoàn toàn từ xa.