教程：使用 Cloudflare WARP 安全地将 Hermes Agent 暴露至私有网络

当我们希望通过笔记本电脑、平板或手机等其他设备访问 Hermes Agent，同时又不想将其暴露在公共互联网上时，这往往是一个普遍的挑战。利用 Cloudflare WARP 与 Cloudflare Zero Trust，您可以在无需打开任何防火墙入站端口的情况下，将其安全地暴露并在全球范围内进行访问。

如果您之前已经阅读并遵循了我们的指南 '如何在 Linux VPS 上部署 Hermes Agent'，那么您应该已经拥有了一个全天候运行的 Hermes Agent。相比于配置传统 VPN 带来的繁琐步骤，我们将使用 Cloudflare WARP 客户端，通过互联网将 Hermes Agent 暴露到私有网络中。

架构解析

此方案涉及的两个核心组件：

1. Cloudflare Zero Trust：Cloudflare 的云端仪表板，您可以在此定义路由规则和访问策略。
2. Cloudflare WARP：安装在您的设备（VPS、笔记本电脑、手机）上的客户端应用程序。它能够拦截发往私有网络的流量，并安全地进行路由。

前置条件

• 一台已经运行 Hermes Agent 的 VPS。
• 一个免费的 Cloudflare 账号。

详细步骤指南

第 1 步：配置 Cloudflare Zero Trust

1. 登录您的 Cloudflare 仪表板 (Dashboard)。
2. 点击左侧菜单栏中的 'Zero Trust'。
3. 如果这是您第一次使用，系统会提示您选择套餐（免费版对本教程完全足够）并为您的团队命名（例如，ai-team）。
4. 点击 'Access'，然后点击 'Policies' 来创建访问策略，以定义谁有权限访问网络。
5. 点击 'Create new policy'。
6. 选择 'Emails' 并在 'Policy rules' 下方输入您的电子邮件地址。

第 2 步：在 VPS 上配置 Cloudflare WARP 客户端

1. 在 VPS 终端中运行 sudo apt update 和 sudo apt install cloudflare-warp。
2. 在 VPS 终端中运行 warp-cli registration new <TEAM-NAME>，该命令将输出一个 URL。
3. 复制输出的 URL（其格式类似于 https://<team>.cloudflareaccess.com/warp），并将其粘贴到浏览器中进行认证。
4. 由于前面的策略设置中使用了电子邮件认证，请输入您的电子邮件以进行认证。
5. 当浏览器中显示 'Success' 页面后，右键点击蓝色的 'Open Cloudflare WARP' 按钮并选择“检查 (Inspect)”。
6. 复制该按钮链接中的长 Token 字符串。
7. 在 VPS 终端中运行 warp-cli --accept-tos registration token "https://<team>.cloudflareaccess.com/auth?token=<copied_token>"，将您的 VPS 连接到 Cloudflare Zero Trust。
   如果在 Ubuntu 26 上遇到 'Error: Failed to communicate with the WARP API'，请运行以下命令：

   sudo systemctl restart warp-svc.service
   
   # Check status
   sudo systemctl status warp-svc.service
   
   # Run the warp-cli registration token again
   warp-cli --accept-tos registration token   "https://<team>.cloudflareaccess.com/auth?token=<copied_token>"
   

8. 回到 Cloudflare Zero Trust 仪表板，点击 'Devices'。您现在应该能看到您的 VPS 设备。

第 3 步：配置流量路由

1. 在 Devices 仪表板中点击您 VPS 设备的配置文件。
2. 向下滚动至 'Split Tunnels' 部分。
3. 点击 'Manage' 按钮，并按照下图配置设置。如有需要请替换相应的 IP 地址。
4. 暴露 address 和 host 会将发往您服务的流量路由到该私有网络内。

第 4 步：配置 VPS 防火墙

启用防火墙，仅允许 '100.96.0.0/12' 子网的流量通过，并阻止其他所有公共入站访问。

sudo ufw enable 
sudo ufw default allow outgoing 
sudo ufw default deny incoming
sudo ufw allow in from 100.96.0.0/12

允许回环网络 (loopback) 的流量，避免导致本地服务异常：

sudo ufw allow in on lo
sudo ufw allow out on lo

重载防火墙规则并验证状态：

sudo ufw reload 
sudo ufw status verbose

第 5 步：将 Hermes Agent 暴露至私有网络

我们将把 Hermes Agent Web Dashboard 暴露至私有网络，并使用默认的认证提供商 Nous Research。

配置认证提供商

1. 前往 portal.nousresearch.com 注册一个账号。
2. 选择 'Local Dashboards'。
3. 点击 'Register Dashboard'。
4. 将 VPS 在私有网络中的 IP 地址填入 'Dashboard redirect URI' 并点击 'Save'。
5. 复制 'OAuth client ID' 并将其粘贴到您的 config.yaml 文件中：

dashboard:
  theme: default
  show_token_analytics: false
  oauth:
    client_id: agent:cmq02x7ha0002jk0ba3kfnb
    portal_url: https://portal.nousresearch.com
  basic_auth:
    username: ''
    password_hash: ''

使用 Systemd 确保 Hermes Dashboard 开机自启

1. 创建服务文件：

sudo nano /etc/systemd/system/hermes-dashboard.service

2. 粘贴以下配置，确保 --host 0.0.0.0 包含在命令中：

[Unit]
Description=Hermes Dashboard
After=network.target

[Service]
User=hermes
WorkingDirectory=/home/hermes
ExecStart=/home/hermes/.local/bin/hermes dashboard --host 0.0.0.0
Restart=always
RestartSec=10
Environment=PATH=/home/hermes/.local/bin:/usr/local/bin:/usr/bin:/bin

[Install]
WantedBy=multi-user.target

3. 启用并启动服务：

sudo systemctl daemon-reload
sudo systemctl enable hermes-dashboard
sudo systemctl start hermes-dashboard
sudo systemctl status hermes-dashboard

第 6 步：在桌面上安装 Cloudflare WARP 客户端

1. 从 Cloudflare 官网 下载 Cloudflare WARP 客户端。
2. 安装完成后打开并运行 Cloudflare WARP 客户端。
3. 按提示登录。
4. 登录成功后会显示 'Success' 页面。
5. 此时 WARP 客户端应显示已连接至您的 Zero Trust 团队。
6. 在浏览器中输入您的私有 IP 地址（例如 100.96.0.3），即可成功加载 Hermes Web Dashboard。

macOS 用户进阶提示： 如果您需要使用 WARP 客户端访问多个 Cloudflare 账号，请参阅我们的快速指南 使用MDM配置文件在macOS上无缝切换与配置多个Cloudflare WARP零信任组织的完整指南，实现账号间的无缝切换。

第 7 步：在 iOS 设备上安装 Cloudflare WARP 客户端

1. 在 App Store 中安装 Cloudflare One。
2. 打开 Cloudflare One 应用并在提示时输入您的团队名称。
3. 使用前面在策略规则中配置的同一个电子邮箱地址进行登录。
4. 连接成功后，界面应如下所示：
5. 在手机浏览器中输入私有 IP 100.96.0.3 即可在移动设备上访问 Hermes Web Dashboard。

结语

借助 Cloudflare Zero Trust 管理身份策略以及 WARP 客户端通过加密隧道路由流量，您的 Hermes Agent 现在可以被您的设备在全球范围内安全访问。该配置为构建并访问完全远程、私有的 AI 基础设施奠定了坚实而安全的根基。