hermes agent外部访问失败时，需按顺序排查端口占用、确认实际监听端口、配置防火墙入站规则、限制源ip范围、设置出站白名单，并禁用冲突的默认全通规则。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在部署Hermes Agent后发现其服务无法被外部访问，或启动时提示端口监听失败，则可能是系统防火墙拦截了入站连接请求。以下是为Hermes Agent设置防火墙规则的具体操作与配置建议：
一、确认Hermes Agent实际监听端口
防火墙规则必须精确匹配Agent当前绑定的端口，而该端口可能因配置文件修改或环境变量覆盖而不同于默认值。需先定位真实监听端口，避免规则配置错误。
1、检查Hermes Agent配置文件application.yml或application.properties中server.port字段的值。
2、若使用容器部署，查看docker run命令中-p参数映射的宿主机端口，例如-p 9090:8080表示宿主机9090端口被代理到容器内8080端口。
3、启动Agent后，在宿主机执行netstat -tuln | grep LISTEN（Linux/macOS）或 netstat -ano | findstr :LISTEN（Windows），确认进程监听的实际端口号。
二、为指定端口添加入站放行规则
仅开放Hermes Agent必需的端口，禁止使用全网段通配（如0.0.0.0/0），以最小权限原则控制网络暴露面。
1、Windows系统中，以管理员身份运行PowerShell，执行：New-NetFirewallRule -DisplayName "HermesAgent-In" -Direction Inbound -Protocol TCP -LocalPort 9090 -Action Allow。
2、CentOS/RHEL系统中，执行：sudo firewall-cmd --permanent --add-port=9090/tcp && sudo firewall-cmd --reload。
3、Ubuntu/Debian系统中，执行：sudo ufw allow 9090/tcp。
4、若Agent同时使用HTTPS端口（如8443），需对同一协议重复执行上述对应命令，分别添加对应端口规则。
三、限制允许访问的源IP范围
在业务场景明确访问来源的前提下，应进一步缩小入站流量的源地址范围，防止未授权网络发起连接。
1、Windows中，扩展防火墙规则添加RemoteAddress参数：New-NetFirewallRule -DisplayName "HermesAgent-In-Limited" -Direction Inbound -Protocol TCP -LocalPort 9090 -RemoteAddress 192.168.10.0/24 -Action Allow。
2、firewalld中，使用rich rule限定IP段：sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.10.0/24" port port="9090" protocol="tcp" accept'。
手动 Telegram 斜杠命令，用于查看 Codex 状态及使用情况。用户发送 /codex_usage、/codex_usage default、/codex_usage all 等时触发。
3、ufw中，指定子网段允许：sudo ufw allow from 192.168.10.0/24 to any port 9090 proto tcp。
4、验证规则生效后，尝试从非授权IP段发起连接，确认被拒绝。
四、配置出站连接白名单（可选强化项）
当Hermes Agent需调用外部API（如LLM服务、向量数据库、消息平台）时，限制其出站目标可降低横向渗透风险，尤其适用于高安全等级环境。
1、记录Agent依赖的所有外部域名与端口，例如openrouter.ai:443、api.feishu.cn:443、redis.internal:6379。
2、Windows中，创建出站规则：New-NetFirewallRule -DisplayName "HermesAgent-Out" -Direction Outbound -Protocol TCP -RemotePort 443 -RemoteAddress 104.21.32.15,185.199.108.153 -Action Allow（IP需替换为实际解析结果）。
3、firewalld中启用富规则限制出站目标：sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" destination address="104.21.32.15" port port="443" protocol="tcp" accept'。
4、重启firewalld或ufw服务，使新出站策略生效。
五、禁用默认全通规则并审计现有策略
部分系统初始化时存在宽泛的防火墙规则，可能覆盖精细配置。需主动识别并移除潜在冲突项，确保策略按预期执行。
1、Windows中，列出所有启用的入站规则：Get-NetFirewallRule -Enabled True -Direction Inbound | Where-Object {$_.DisplayName -like "*any*" -or $_.RemoteAddress -eq "Any"}。
2、firewalld中，查看当前所有规则：sudo firewall-cmd --list-all，重点关注source ports、zones及未加注释的通用规则。
3、ufw中，执行：sudo ufw status verbose，检查是否存在allow any any规则。
4、对匹配“any”、“0.0.0.0/0”或无明确作用域的规则，使用对应命令禁用或删除，例如Windows中执行Disable-NetFirewallRule -DisplayName "Old-Rule"。
