Egress proxy internals

الفكرة في دقيقة

ابدأ بالمعنى، ثم انتقل إلى التفاصيل.

هذا الدرس يشرح Egress proxy internals ضمن موضوع داخل Hermes وكيف يوسّعه المطور. ستعرف ما الذي يفعله هذا الجزء، متى تحتاجه، وما أصغر خطوة آمنة للتأكد أنه يعمل.

إن كنت مبتدئًا

إن كنت جديدًا: لا تحفظ الأسماء. ركّز على ثلاثة أسئلة: ما المشكلة التي يحلها هذا الجزء؟ ما البيانات أو الصلاحيات التي يحتاجها؟ وكيف أعرف أن النتيجة صحيحة؟

للتطبيق العملي

للتطبيق: اقرأ المثال الأول، حدّد ما سيغيّره، نفّذه على بيانات تجريبية، ثم قارن الناتج بما وعد به المصدر.

للمتخصص

للمتخصص: راجع Module layout، Lifecycle، Security invariants، ثم افحص حالات الفشل والتوافق مع إصدارك.

ما الذي تحتاجه قبل البدء؟

اعرف Python وGit وبنية مشروع برمجي قبل تعديل الكود.

ماذا ستعرف؟

نتيجة واضحة قبل أن تقرأ.

تفهم Egress proxy internals من دون افتراض معرفة سابقة.
تفرّق بين الوصف والمعلومة التي تحتاج إلى اختبار في بيئتك.
اقرأ الأمر الأول وحدد المدخلات والمخرجات قبل نسخه.

مصطلحات هذا الدرس

تعريفات قصيرة قبل التفاصيل.

Approval & sandbox: الموافقة توقف الفعل الحساس قبل التنفيذ، والعزل يحد أثر العملية إذا حدث خطأ.

وصف الصفحة الرسمي

How the iron-proxy egress firewall integrates with Hermes — module layout, lifecycle, security invariants, and extension points

خريطة الموضوع

ما الذي يقوله المصدر، وبأي ترتيب؟

01
Module layout
ابدأ بهذا القسم لتفهم الفكرة أو البنية الأساسية.
02
Lifecycle
اقرأه بعد الأساسيات، ثم اربطه بالخطوة السابقة قبل المتابعة.
03
Security invariants
اقرأه بعد الأساسيات، ثم اربطه بالخطوة السابقة قبل المتابعة.
04
Filesystem perms
اقرأه بعد الأساسيات، ثم اربطه بالخطوة السابقة قبل المتابعة.
05
Subprocess env minimisation
اقرأه بعد الأساسيات، ثم اربطه بالخطوة السابقة قبل المتابعة.
06
Bind policy
اقرأه بعد الأساسيات، ثم اربطه بالخطوة السابقة قبل المتابعة.
07
Metrics port collision
اقرأه بعد الأساسيات، ثم اربطه بالخطوة السابقة قبل المتابعة.
08
Default deny CIDRs
اقرأه بعد الأساسيات، ثم اربطه بالخطوة السابقة قبل المتابعة.
09
Audit log fail-loud
اقرأه بعد الأساسيات، ثم اربطه بالخطوة السابقة قبل المتابعة.
10
Bitwarden mode fail-loud
اختم بهذا القسم لتفحص النتيجة والحالات الخاصة.

أمثلة من الصفحة الرسمية

انسخ بعد أن تفهم الأثر.

agent/proxy_sources/iron_proxy.py     Core: binary install, CA gen, config build,
                                       subprocess lifecycle, mappings I/O, PID/nonce
                                       defense.  Pure-function surface where possible.

hermes_cli/proxy_cli.py               Wizard + slash command handlers.
                                       `hermes egress {install,setup,start,stop,
                                       status,disable,config}`.  Wires the
                                       core module into argparse.

hermes_cli/main.py:_dispatch_egress   Top-level sub

hermes egress install
  -> agent.proxy_sources.iron_proxy.install_iron_proxy(force=...)
       Downloads pinned tarball + checksums.txt from GitHub Releases.
       SHA-256 verification before extraction.
       tarfile.extract(..., filter="data") on Python 3.12+ (PEP 706);
         falls back to plain extract on older Python with member-name
         sanitisation via _pick_tar_member.
       Stage into ~/.hermes/bin/.iron-proxy_XXXX, chmod 755, os.replace
         to ~/.hermes/bin/iron-proxy (atomic).
       _VERSION_CACHE.pop(target) so a forced reinstall re-probes
         --version on next

Also update `_DEFAULT_ALLOWED_HOSTS` so the proxy allows the upstream by default.  Run `test_discover_provider_mappings_*` to confirm.

### Adding a new header-token provider (x-api-key family)

If the provider authenticates with a static NON-Authorization header (like Anthropic's `x-api-key`, Azure's `api-key`, or Gemini's `x-goog-api-key`), add it to `_HEADER_AUTH_PROVIDERS` — iron-proxy's `secrets.replace.match_headers` targets arbitrary header names, so these are first-class swapped providers:

تطبيق الآن

اقرأ الأمر الأول وحدد المدخلات والمخرجات قبل نسخه.

طابق أي أمر مع إصدار Hermes المثبّت، وراجع الملفات والحسابات التي قد يصل إليها، واستخدم بيانات غير حساسة في أول اختبار. إذا اختلف الشرح عن المصدر، فالمصدر الرسمي هو المرجع النهائي.

اختبار الفهم

ثلاثة قرارات قبل علامة الاكتمال.

1. ما المرجع النهائي عند تغيّر معلومات «شرح Egress proxy internals»؟منشور غير مؤرخالتوثيق الرسمي ومستودع Hermesنتيجة بحث بلا مصدر

2. ما أفضل طريقة لتطبيق هذا الدرس؟نسخ كل أمر مباشرةتنفيذ خطوة صغيرة ثم التحقق من نتيجتهامنح كل الصلاحيات لتوفير الوقت

3. ماذا تفعل قبل خطوة قد تعدّل ملفات أو حسابًا خارجيًا؟تراجع النطاق والصلاحيات ومسار التراجعتلغي العزلتشارك المفتاح في المحادثة