---
title: "教程：使用 Cloudflare WARP 安全地将 Hermes Agent 暴露至私有网络"
description: "本文深入探讨如何使用 Cloudflare WARP 与 Zero Trust 技术，在完全不需要开启任何防火墙入站端口的情况下，安全地将您的 Hermes Agent 暴露到私有网络中，从而实现全球范围内的安全访问。这为您构建专属私有远程 AI 基础设施打下坚实基础。"
canonical_url: "https://techvoyage.dev/zh/article/exposing-hermes-agent-to-private-network-using-cloudflare-warp"
last_updated: "2026-09-28"
---

当我们希望通过笔记本电脑、平板或手机等其他设备访问 **Hermes Agent**，同时又不想将其暴露在公共互联网上时，这往往是一个普遍的挑战。利用 **Cloudflare WARP** 与 **Cloudflare Zero Trust**，您可以在无需打开任何防火墙入站端口的情况下，将其安全地暴露并在全球范围内进行访问。

如果您之前已经阅读并遵循了我们的指南 '[如何在 Linux VPS 上部署 Hermes Agent](/article/how-to-setup-hermes-on-remote-server)'，那么您应该已经拥有了一个全天候运行的 Hermes Agent。相比于配置传统 VPN 带来的繁琐步骤，我们将使用 **Cloudflare WARP** 客户端，通过互联网将 Hermes Agent 暴露到私有网络中。

## 架构解析

此方案涉及的两个核心组件：

1. **Cloudflare Zero Trust**：Cloudflare 的云端仪表板，您可以在此定义路由规则和访问策略。
2. **Cloudflare WARP**：安装在您的设备（VPS、笔记本电脑、手机）上的客户端应用程序。它能够拦截发往私有网络的流量，并安全地进行路由。

### 前置条件

- 一台已经运行 Hermes Agent 的 VPS。
- 一个免费的 Cloudflare 账号。

## 详细步骤指南

### 第 1 步：配置 Cloudflare Zero Trust

1. 登录您的 [Cloudflare 仪表板 (Dashboard)](https://dash.cloudflare.com/)。
2. 点击左侧菜单栏中的 'Zero Trust'。
![Cloudflare 仪表板左侧侧边栏导航菜单中的 Zero Trust 选项](https://inimages.techvoyage.dev/articles/Exposing%20Hermes%20Agent%20to%20Private%20Network%20Using%20Cloudflare%20WARP/cloudflare-zero-trust-left-menu.webp)
3. 如果这是您第一次使用，系统会提示您选择套餐（免费版对本教程完全足够）并为您的团队命名（例如，`ai-team`）。
![首次设置 Cloudflare Zero Trust 帐户并为团队命名](https://inimages.techvoyage.dev/articles/Exposing%20Hermes%20Agent%20to%20Private%20Network%20Using%20Cloudflare%20WARP/cloudflare-zero-trust-team-setup.webp)
4. 点击 'Access'，然后点击 'Policies' 来创建访问策略，以定义谁有权限访问网络。
![Cloudflare Zero Trust Access 策略页面，显示新配置的访问规则](https://inimages.techvoyage.dev/articles/Exposing%20Hermes%20Agent%20to%20Private%20Network%20Using%20Cloudflare%20WARP/cloudflare-access-policies-page.webp)
5. 点击 'Create new policy'。
![Cloudflare Access policies page showing no policies added and a button to create a new policy.](https://inimages.techvoyage.dev/articles/How%20to%20secure%20NodeWarden%20at%20Cloudflare/cloudflare-access-no-policies-create-button.png)
6. 选择 'Emails' 并在 'Policy rules' 下方输入您的电子邮件地址。
![Cloudflare Access policy rule configuration screen with an email address specified as the inclusion criteria.](https://inimages.techvoyage.dev/articles/How%20to%20secure%20NodeWarden%20at%20Cloudflare/cloudflare-access-policy-rule-email.png)

### 第 2 步：在 VPS 上配置 Cloudflare WARP 客户端

1. 在 VPS 终端中运行 `sudo apt update` 和 `sudo apt install cloudflare-warp`。
2. 在 VPS 终端中运行 `warp-cli registration new <TEAM-NAME>`，该命令将输出一个 URL。
3. 复制输出的 URL（其格式类似于 `https://<team>.cloudflareaccess.com/warp`），并将其粘贴到浏览器中进行认证。
4. 由于前面的策略设置中使用了电子邮件认证，请输入您的电子邮件以进行认证。
5. 当浏览器中显示 '**Success**' 页面后，右键点击蓝色的 '**Open Cloudflare WARP**' 按钮并选择“**检查 (Inspect)**”。
6. 复制该按钮链接中的长 Token 字符串。
7. 在 VPS 终端中运行 `warp-cli --accept-tos registration token "https://<team>.cloudflareaccess.com/auth?token=<copied_token>"`，将您的 VPS 连接到 Cloudflare Zero Trust。<br />

如果在 Ubuntu 26 上遇到 'Error: Failed to communicate with the WARP API'，请运行以下命令：```bash
sudo systemctl restart warp-svc.service

# Check status
sudo systemctl status warp-svc.service

# Run the warp-cli registration token again
warp-cli --accept-tos registration token   "https://<team>.cloudflareaccess.com/auth?token=<copied_token>"
```
8. 回到 Cloudflare Zero Trust 仪表板，点击 'Devices'。您现在应该能看到您的 VPS 设备。
![Zero Trust 设备仪表板，确认 Linux VPS 已成功连接](https://inimages.techvoyage.dev/articles/Exposing%20Hermes%20Agent%20to%20Private%20Network%20Using%20Cloudflare%20WARP/cloudflare-zero-trust-devices-vps-connected.webp)

### 第 3 步：配置流量路由

1. 在 Devices 仪表板中点击您 VPS 设备的配置文件。
![访问已注册 VPS 设备的详细信息与拆分隧道设置](https://inimages.techvoyage.dev/articles/Exposing%20Hermes%20Agent%20to%20Private%20Network%20Using%20Cloudflare%20WARP/cloudflare-zero-trust-device-profile.webp)
2. 向下滚动至 'Split Tunnels' 部分。
![VPS 设备配置文件下的 Split Tunnels 拆分隧道区域](https://inimages.techvoyage.dev/articles/Exposing%20Hermes%20Agent%20to%20Private%20Network%20Using%20Cloudflare%20WARP/cloudflare-zero-trust-split-tunnels-section.webp)
3. 点击 'Manage' 按钮，并按照下图配置设置。如有需要请替换相应的 IP 地址。
![在 Cloudflare 设置中管理拆分隧道 IP 与主机名排除规则](https://inimages.techvoyage.dev/articles/Exposing%20Hermes%20Agent%20to%20Private%20Network%20Using%20Cloudflare%20WARP/cloudflare-zero-trust-manage-split-tunnels.webp)
4. 暴露 `address` 和 `host` 会将发往您服务的流量路由到该私有网络内。

### 第 4 步：配置 VPS 防火墙

启用防火墙，仅允许 '100.96.0.0/12' 子网的流量通过，并阻止其他所有公共入站访问。

```bash
sudo ufw enable 
sudo ufw default allow outgoing 
sudo ufw default deny incoming
sudo ufw allow in from 100.96.0.0/12
```

允许回环网络 (loopback) 的流量，避免导致本地服务异常：

```bash
sudo ufw allow in on lo
sudo ufw allow out on lo
```

重载防火墙规则并验证状态：

```bash
sudo ufw reload 
sudo ufw status verbose
```

### 第 5 步：将 Hermes Agent 暴露至私有网络

我们将把 **Hermes Agent Web Dashboard** 暴露至私有网络，并使用默认的认证提供商 **Nous Research**。

#### 配置认证提供商

1. 前往 [portal.nousresearch.com](https://portal.nousresearch.com) 注册一个账号。
2. 选择 'Local Dashboards'。
![在 Nous Research 门户网站中选择 Local Dashboards 本地仪表板选项](https://inimages.techvoyage.dev/articles/Exposing%20Hermes%20Agent%20to%20Private%20Network%20Using%20Cloudflare%20WARP/nous-portal-local-dashboards-selection.webp)
3. 点击 'Register Dashboard'。
![点击 Register Dashboard 按钮以创建新的仪表板项目](https://inimages.techvoyage.dev/articles/Exposing%20Hermes%20Agent%20to%20Private%20Network%20Using%20Cloudflare%20WARP/nous-portal-register-dashboard.webp)
4. 将 VPS 在私有网络中的 IP 地址填入 'Dashboard redirect URI' 并点击 'Save'。
![在 Nous Research 门户中注册私有网络 VPS IP 地址作为重定向 URI](https://inimages.techvoyage.dev/articles/Exposing%20Hermes%20Agent%20to%20Private%20Network%20Using%20Cloudflare%20WARP/nous-portal-register-redirect-uri.webp)
5. 复制 'OAuth client ID' 并将其粘贴到您的 `config.yaml` 文件中：

```yaml
dashboard:
  theme: default
  show_token_analytics: false
  oauth:
    client_id: agent:cmq02x7ha0002jk0ba3kfnb
    portal_url: https://portal.nousresearch.com
  basic_auth:
    username: ''
    password_hash: ''
```

#### 使用 Systemd 确保 Hermes Dashboard 开机自启

1. 创建服务文件：

```shell
sudo nano /etc/systemd/system/hermes-dashboard.service
```

1. 粘贴以下配置，确保 `--host 0.0.0.0` 包含在命令中：

```ini
[Unit]
Description=Hermes Dashboard
After=network.target

[Service]
User=hermes
WorkingDirectory=/home/hermes
ExecStart=/home/hermes/.local/bin/hermes dashboard --host 0.0.0.0
Restart=always
RestartSec=10
Environment=PATH=/home/hermes/.local/bin:/usr/local/bin:/usr/bin:/bin

[Install]
WantedBy=multi-user.target
```

1. 启用并启动服务：

```shell
sudo systemctl daemon-reload
sudo systemctl enable hermes-dashboard
sudo systemctl start hermes-dashboard
sudo systemctl status hermes-dashboard
```

### 第 6 步：在桌面上安装 Cloudflare WARP 客户端

1. 从 [Cloudflare 官网](https://developers.cloudflare.com/warp-client/get-started/) 下载 Cloudflare WARP 客户端。
2. 安装完成后打开并运行 Cloudflare WARP 客户端。
3. 按提示登录。
![台式电脑上的 Cloudflare WARP 客户端登录提示](https://inimages.techvoyage.dev/articles/Exposing%20Hermes%20Agent%20to%20Private%20Network%20Using%20Cloudflare%20WARP/cloudflare-warp-desktop-login-prompt.webp)
4. 登录成功后会显示 'Success' 页面。
![在台式电脑登录 Cloudflare Zero Trust 后的验证成功网页](https://inimages.techvoyage.dev/articles/Exposing%20Hermes%20Agent%20to%20Private%20Network%20Using%20Cloudflare%20WARP/cloudflare-warp-desktop-login-success.webp)
5. 此时 WARP 客户端应显示已连接至您的 Zero Trust 团队。
![桌面版 Cloudflare WARP 客户端确认已连接至 Zero Trust 私有网络](https://inimages.techvoyage.dev/articles/Exposing%20Hermes%20Agent%20to%20Private%20Network%20Using%20Cloudflare%20WARP/cloudflare-warp-desktop-client-connected.webp)
6. 在浏览器中输入您的私有 IP 地址（例如 `100.96.0.3`），即可成功加载 Hermes Web Dashboard。
![在桌面浏览器中访问私有 Hermes Agent 网页仪表板](https://inimages.techvoyage.dev/articles/Exposing%20Hermes%20Agent%20to%20Private%20Network%20Using%20Cloudflare%20WARP/hermes-agent-dashboard-desktop-view.webp)

> **macOS 用户进阶提示：** 如果您需要使用 WARP 客户端访问多个 Cloudflare 账号，请参阅我们的快速指南 **使用MDM配置文件在macOS上无缝切换与配置多个Cloudflare WARP零信任组织的完整指南**，实现账号间的无缝切换。

### 第 7 步：在 iOS 设备上安装 Cloudflare WARP 客户端

1. 在 App Store 中安装 **Cloudflare One**。
2. 打开 Cloudflare One 应用并在提示时输入您的团队名称。
![在 iOS 上的 Cloudflare One 应用程序中输入 Cloudflare Zero Trust 团队名称](https://inimages.techvoyage.dev/articles/Exposing%20Hermes%20Agent%20to%20Private%20Network%20Using%20Cloudflare%20WARP/cloudflare-one-ios-team-name-prompt.webp)
3. 使用前面在策略规则中配置的同一个电子邮箱地址进行登录。
![iOS 上的 Cloudflare Zero Trust 电子邮件验证提示](https://inimages.techvoyage.dev/articles/Exposing%20Hermes%20Agent%20to%20Private%20Network%20Using%20Cloudflare%20WARP/cloudflare-one-ios-email-login.webp)
4. 连接成功后，界面应如下所示：
![iOS 移动设备上 Cloudflare One 应用程序显示的已连接状态](https://inimages.techvoyage.dev/articles/Exposing%20Hermes%20Agent%20to%20Private%20Network%20Using%20Cloudflare%20WARP/cloudflare-one-ios-client-connected.webp)
5. 在手机浏览器中输入私有 IP `100.96.0.3` 即可在移动设备上访问 Hermes Web Dashboard。
![在手机浏览器上访问 Hermes Agent 网页仪表板界面](https://inimages.techvoyage.dev/articles/Exposing%20Hermes%20Agent%20to%20Private%20Network%20Using%20Cloudflare%20WARP/hermes-agent-dashboard-mobile-view.webp)

## 结语

借助 **Cloudflare Zero Trust** 管理身份策略以及 **WARP** 客户端通过加密隧道路由流量，您的 Hermes Agent 现在可以被您的设备在全球范围内安全访问。该配置为构建并访问完全远程、私有的 AI 基础设施奠定了坚实而安全的根基。