Hermes agent bereiken vanaf uw telefoon

De drie manieren om uw Hermes-agent vanaf uw telefoon te bereiken

Om uw Hermes-agent vanaf uw telefoon te bereiken, gebruikt u het webdashboard. De belangrijkste beslissing is wat u voor dit dashboard plaatst. Optie één is een privaat mesh-netwerk, waarbij het dashboard alleen luistert op een Tailscale-adres en geen enkele poort is blootgesteld aan het internet. Optie twee is een publiek eindpunt achter een reverse proxy met TLS (transport layer security) en een login, waarbij die login de enige beveiliging is voor een terminal naar uw server. Optie drie is SSH (secure shell) vanuit een terminal-app; dit vereist de minste configuratie en biedt de meeste toegang.

Deze handleiding begint waar het draaien van een Hermes-agent op uw eigen VPS eindigt. De agent is geïnstalleerd, reageert op de command line en u wilt deze nu op uw telefoon beschikbaar hebben.

De onderstaande commando's zijn geschreven voor tag v2026.8.3, gepubliceerd op 3 augustus 2026 en gelabeld als v0.20.0 in de release notes. Hermes brengt vaak nieuwe versies uit, dus pin de machine vast op een tag in plaats van main te volgen. Het installatieprogramma accepteert een commit:

curl -fsSL https://hermes-agent.nousresearch.com/install.sh | bash -s -- --commit 3c27eb6234bf
hermes --version

hermes --version toont wat er daadwerkelijk is geïnstalleerd. Vergelijk dit met de tag voordat u vertrouwt op een flag op deze pagina.

Wat de repository bevat en wat niet

Er is geen iOS- of Android-app in de Hermes-repository. De native client is hermes desktop (alias hermes gui), een Electron-applicatie voor macOS, Windows en Linux. Deze kan verbinding maken met een externe agent in plaats van een lokale: stel de externe URL in op http://<server-address>:9119 in Settings onder Gateway, of exporteer HERMES_DESKTOP_REMOTE_URL=http://<server-address>:9119 voordat u de applicatie start. Dat lost het probleem van een tweede laptop op. Voor een telefoon doet het niets.

De interface die u vanaf een telefoon gebruikt is hermes dashboard, de browserinterface. Deze beheert configuratie, sessies, cron jobs, skills, logs en berichtenplatforms, en bevat een ingebouwde terminal: de server start hermes --tui achter een PTY (pseudo-terminal) en streamt de uitvoer naar de pagina. Op een smal scherm klapt de sessiewisselaar in naar een slide-over paneel, waardoor de lay-out bruikbaar blijft op een telefoon.

Standaard luistert het dashboard op 127.0.0.1:9119 en opent het een browsertabblad op de server zelf, wat niet nuttig is op een headless VPS (virtual private server). Start het zonder de browser en controleer de socket:

hermes dashboard --no-open
ss -lntp | grep 9119

Een listener op 127.0.0.1:9119 is alleen bereikbaar vanaf de server zelf. Een listener op 0.0.0.0:9119 is bereikbaar vanaf elk netwerk waarmee de machine is verbonden, inclusief het publieke netwerk. Die ene regel bepaalt hoe blootgesteld u bent; lees deze dus in plaats van er zomaar vanuit te gaan.

Optie 1: een privaat mesh-netwerk met Tailscale

Kies voor deze optie, tenzij u een specifieke reden heeft om dit niet te doen. Tailscale is een mesh-VPN (virtual private network) gebaseerd op WireGuard. Elk apparaat dat u aanmeldt, krijgt een stabiel adres en communiceert rechtstreeks met de andere apparaten. Uw telefoon wordt onderdeel van hetzelfde mesh-netwerk, waardoor het dashboard helemaal geen publieke poort nodig heeft.

Op de server:

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up
tailscale ip -4

Installeer de Tailscale-app op de telefoon en meld u aan met hetzelfde account. tailscale status op de server toont vervolgens de telefoon op naam. Koppel het dashboard nu aan het adres dat tailscale ip -4 heeft weergegeven:

hermes dashboard --host 100.101.102.103 --port 9119 --no-open

Door te binden aan het mesh-adres, in plaats van aan 0.0.0.0, bestaat de listening socket alleen op de Tailscale-interface. Een poortscan van uw publieke IP-adres vindt niets op 9119, omdat daar niets luistert; uw firewall is dus niet langer de enige beveiligingslaag. Bevestig dit opnieuw met ss -lntp | grep 9119.

Het bind-adres bepaalt ook de authenticatie, en dit is het punt dat vaak over het hoofd wordt gezien. Op 127.0.0.1, zonder geconfigureerde publieke URL, heeft het dashboard geen login. Op elk ander adres is de authenticatiepoort verplicht, en zonder geconfigureerde provider weigert de server te starten. Het project noemt dit 'failing closed'. Voer het de eerste keer interactief uit; het biedt dan aan om direct een gebruikersnaam en wachtwoord in te stellen, die worden opgeslagen als dashboard.basic_auth in ~/.hermes/config.yaml. U kunt dezelfde provider ook configureren via ~/.hermes/.env, wat de werkwijze is in het voorbeeld van het project zelf:

HERMES_DASHBOARD_BASIC_AUTH_USERNAME=you
HERMES_DASHBOARD_BASIC_AUTH_PASSWORD_HASH=scrypt$16384$8$1$...
HERMES_DASHBOARD_BASIC_AUTH_SECRET=a-long-random-string

Genereer dat geheim met openssl rand -hex 32 en wijzig het daarna niet meer. Het ondertekent de sessie-cookie, dus wijzigen betekent dat elk apparaat wordt uitgelogd. Hetzelfde bestand bevat uw model API-keys, dus houd het privé met chmod 600 ~/.hermes/.env.

Controleer de toegangspoort vanaf een andere machine in het mesh-netwerk voordat u deze vertrouwt:

curl -s http://100.101.102.103:9119/api/status | jq '.auth_required, .auth_providers'

true gevolgd door ["basic"] betekent dat de poort actief is en dat de wachtwoordprovider reageert. De documentatie van het project zelf is duidelijk over die provider: deze is bedoeld voor een vertrouwd netwerk of een VPN en is niet geschikt voor een dashboard dat direct aan het publieke internet is blootgesteld. In een mesh-netwerk is dat precies de situatie waarin u zich bevindt.

Voor HTTPS binnen de tailnet, wijst u de poort toe aan Tailscale:

sudo tailscale serve --bg localhost:9119
sudo tailscale serve status

Tailscale handelt TLS-termination af met een certificaat dat is uitgegeven voor de MagicDNS-naam van de machine. Hierdoor stopt de browser met waarschuwingen en krijgt de sessie-cookie de Secure-vlag. Schakel eerst MagicDNS en HTTPS Certificates in op de DNS-pagina van de Tailscale-beheerdersconsole en lees de bevestiging terwijl u daar bent: uw machinenamen en uw tailnet DNS-naam worden gepubliceerd in het publieke 'certificate transparency ledger', dat voor iedereen inzichtelijk is.

De eerlijke prijs hiervoor is de coördinatieserver. Verkeer tussen uw telefoon en uw VPS is end-to-end versleuteld en gaat niet via Tailscale, maar het account dat bepaalt welke apparaten tot het mesh-netwerk behoren, staat niet op uw eigen hardware. Als dat een punt van zorg is, draai dan zelf het control plane met Headscale, de self-hosted Tailscale control server, en verwijs clients ernaar met tailscale up --login-server https://headscale.example.com. Als u liever geen mesh gebruikt en peers handmatig configureert, behandelt de vergelijking tussen standaard WireGuard en Tailscale wat u inlevert.

Optie 2: een publiek HTTPS-eindpunt, en de valkuil daarbij

Soms is een mesh niet beschikbaar. Een werktelefoon staat het installeren van een VPN-client mogelijk niet toe. In dat geval wordt het dashboard achter een reverse proxy geplaatst. Houd het dashboard op loopback en laat Caddy het certificaat beheren:

hermes.example.com {
  reverse_proxy 127.0.0.1:9119
}

Caddy haalt en vernieuwt het certificaat zelfstandig, en de reverse_proxy-configuratie laat WebSocket-upgrades door zonder extra instructies; dit is vereist voor de ingebouwde terminal van het dashboard. Bij nginx moet u de Upgrade- en Connection-headers zelf toevoegen, en het uitgeven van een Let's Encrypt-certificaat met Certbot op nginx behandelt het TLS-gedeelte van die taak. Geef Hermes de publieke naam door zodat inlog-callbacks naar de juiste host verwijzen:

dashboard:
  public_url: "https://hermes.example.com"

Nu de valkuil. De authenticatiepoort baseert zich op het bind-adres, niet op het adres waarvan het verzoek afkomstig is. Huidige releases schakelen de poort ook in wanneer dashboard.public_url (of HERMES_DASHBOARD_PUBLIC_URL) een niet-loopback host benoemt, zelfs als de backend op loopback staat. De bovenstaande instelling activeert dus de poort en het dashboard weigert te starten totdat een provider is geconfigureerd. Laat public_url oningesteld, en een dashboard dat gebonden is aan 127.0.0.1 achter een proxy ziet loopback, concludeert dat inloggen niet nodig is, en bedient iedereen die de proxy doorlaat. Wat u ook heeft geconfigureerd, controleer wat u daadwerkelijk heeft gepubliceerd:

curl -s https://hermes.example.com/api/status | jq '.auth_required'

Als dit false weergeeft, is het internet slechts één URL verwijderd van een terminal op uw server. Er is geen sprake van een exploit en de logs zullen geen melding maken van problemen. Er zijn twee oplossingen en u wilt er ten minste één toepassen. Plaats de authenticatie in de proxy, met Authentik als self-hosted single sign-on provider ervoor via forward auth, of configureer de eigen OIDC (OpenID Connect) provider van het dashboard:

HERMES_DASHBOARD_OIDC_ISSUER=https://auth.example.com/application/o/hermes/
HERMES_DASHBOARD_OIDC_CLIENT_ID=hermes-dashboard
HERMES_DASHBOARD_OIDC_SCOPES="openid profile email"

Zelfs als dit correct wordt uitgevoerd, heeft deze optie een ondergrens die u niet kunt verlagen. Een publieke inlogpagina is een pagina die iedereen kan bereiken en aanvallen, en daarachter bevindt zich een shell op uw VPS. Een gebruikersnaam en wachtwoord bieden daarvoor slechts beperkte bescherming; daarom adviseren de documentatie OAuth of OIDC voor publieke binds. Beperk de inlogsnelheid (rate limiting), houd ufw gesloten voor alles behalve de proxy-poorten en SSH, en controleer regelmatig het toegangslogboek.

Optie 3: SSH en mosh vanaf een mobiele terminal

De route met de minste inspanning: installeer een terminal-app op de telefoon, laad een SSH-sleutel in de app en gebruik de tekstinterface van de agent.

ssh you@vps.example.com
tmux new -A -s phone
hermes --tui

tmux new -A -s phone koppelt aan een sessie genaamd phone, of maakt deze aan als deze nog niet bestaat, zodat de agent blijft draaien wanneer de verbinding wegvalt en u de volgende keer op dezelfde plek terugkeert. Het patroon is hetzelfde als dat wordt gebruikt voor Claude Code aansturen vanaf een telefoon.

Standaard SSH via een mobiel netwerk is oncomfortabel, omdat de verbinding verbreekt zodra de telefoon van adres verandert of in de slaapstand gaat. Mosh lost dit op. Het draait over UDP (user datagram protocol) en synchroniseert de terminalstatus in plaats van een bytestroom, waardoor een sessie overleeft wanneer u overschakelt van wifi naar mobiele data:

sudo apt install -y mosh
sudo ufw allow 60000:61000/udp

Voer vanaf de telefoon mosh you@vps.example.com uit. Mosh start mosh-server over uw bestaande SSH-login en verplaatst de sessie vervolgens naar een UDP-poort tussen 60000 en 61000; dit is de reden waarom dit bereik moet worden geopend. Elke sessie heeft slechts een eigen poort nodig, dus op een server met weinig gelijktijdige sessies kunt u in plaats daarvan een kleiner bereik openen, zoals 60000 tot 60010.

De beveiligingskosten zijn de standaardkosten. Een SSH-sessie is een shell, en een shell is alles wat dat account kan doen. De goedkeuringsvragen van de agent zijn dan het laatste wat staat tussen een gestolen ontgrendelde telefoon en uw bestanden. Gebruik hiervoor een toegewezen non-root account, uitsluitend met sleutels, en werk door SSH beveiligen op een VPS voordat u een sleutel op een apparaat plaatst dat u bij u draagt.

Wat er misgaat op een mobiel netwerk

Er zijn vier punten, en geen daarvan is een bug die u met configuratie kunt oplossen.

Het dashboard logt u uit terwijl u niet kijkt. Hoe snel dit gebeurt, hangt af van de inlogprovider. De aanbieder van gebruikersnaam en wachtwoord verstrekt een toegangstoken dat standaard 12 uur geldig is, ingesteld door session_ttl_seconds onder dashboard.basic_auth, maar die waarde bepaalt alleen hoe vaak het dashboard op de achtergrond ververst, niet hoe lang u ingelogd blijft. Elke verversing genereert een nieuw verversingstoken van 30 dagen, dus een inlog met wachtwoord blijft geldig totdat er 30 dagen voorbij zijn zonder verversing. Een herstart van de backend beëindigt de sessie ook als HERMES_DASHBOARD_BASIC_AUTH_SECRET niet is ingesteld, omdat Hermes dan bij elke start een nieuwe ondertekeningssleutel genereert. De Nous Portal OAuth-provider verstrekt toegangstokens met een TTL (time to live) van 15 minuten en vernieuwt deze op de achtergrond met een verversingstoken dat bij elk gebruik roteert. Een verlopen toegangstoken stuurt u dus niet zomaar terug naar /login. Wat dat wel doet, is het verliezen van de verversingssessie. In releases vóór v0.21.3 (tag v2026.9.14, gepubliceerd op 14 september 2026), kon een telefoon die terugkeerde vanuit de achtergrond meerdere verzoeken tegelijk versturen, het zojuist geroteerde verversingstoken opnieuw gebruiken, de detectie voor hergebruik van de provider activeren en de volledige sessie laten intrekken. U kwam dan terug bij het inlogscherm en alles wat u aan het typen was, was verloren. v0.21.3 zorgt ervoor dat die verzoeken één enkele verversing delen, en aan de kant van Nous Portal verlengt een verversingssessie nu het venster van 30 dagen bij elke rotatie, hoewel 30 dagen inactiviteit de sessie nog steeds beëindigt. Als u op de v2026.8.3-pin van bovenaan deze pagina blijft, moet u rekening houden met die incidentele gedwongen inlog. Er is niets kapot. Log opnieuw in.

De ingebedde terminal overleeft een achtergrondtabblad niet. De server start de TUI (text user interface) achter een PTY en sluit deze netjes af wanneer het tabblad wordt gesloten; opnieuw openen start een nieuwe sessie. Mobiele browsers verwijderen achtergrondtabbladen om geheugen vrij te maken, dus overschakelen naar een andere app voor langere tijd beëindigt die terminal. Uw chatgeschiedenis is veilig, omdat sessies op de server worden opgeslagen en hermes sessions list deze nog steeds toont. De terminal zelf is niet iets waar u opnieuw verbinding mee kunt maken. Als u een sessie nodig heeft die wel blijft bestaan, gebruik dan tmux via SSH.

Inactieve verbindingen sterven stilletjes. Mobiele providers verbreken inactieve TCP-verbindingen om NAT-tabelvermeldingen (network address translation) vrij te maken, en de telefoon stopt vrijwel volledig met netwerkactiviteit zodra het scherm uit is. Een WebSocket die een tijdje stil is geweest, is meestal al dood wanneer u het scherm ontgrendelt, en de pagina maakt pas opnieuw verbinding nadat u deze aanraakt. Dit is waarom mosh op een telefoon prettiger aanvoelt dan SSH: het heeft nooit een verbinding die verloren kan gaan.

Niets pusht een notificatie. Noch het dashboard, noch een SSH-sessie kan uw telefoon wakker maken. Er is geen Hermes-app op het apparaat, dus er is geen pad naar de pushdienst van het platform. Een langlopende agent-taak wordt voltooid, en u komt er pas achter de volgende keer dat u kijkt.

Notificaties komen binnen via de messaging gateway

De oplossing voor het laatstgenoemde probleem is de gateway, wat een volledig andere manier is om de agent te bereiken. hermes gateway verbindt de agent met messaging-platformen zoals Telegram, Discord, Slack, WhatsApp, Signal en e-mail. U communiceert vervolgens met uw agent binnen een app die al beschikt over een push-kanaal op uw telefoon, achtergrondaflevering beheert en netwerkonderbrekingen opvangt.

hermes gateway setup
hermes gateway install
hermes gateway status

hermes gateway install registreert de gateway als een systemd-service, zodat deze na een herstart weer actief wordt. De gateway-fase van het installatieprogramma kan deze stap voor u uitvoeren, maar het installatieprogramma maakt geen unit aan voor hermes dashboard. Hierdoor zal het dashboard niet automatisch opstarten na een herstart. Schrijf een unit voor de onderdelen waarvan u afhankelijk bent; het schrijven van systemd-services en timers op een VPS behandelt het bestand zelf.

Een geplande taak kan op dezelfde manier een resultaat pushen, zonder dat daar een conversatie voor nodig is:

hermes send -t telegram -s "Backup report" -f /home/you/report.txt

Autorisatie is hier standaard ingesteld op weigeren. Zonder ingestelde allowlist en met GATEWAY_ALLOW_ALL_USERS niet geconfigureerd, wordt elke gebruiker geweigerd. Dit is het juiste uitgangspunt. Specificeer de accounts die u wilt toestaan in ~/.hermes/.env:

TELEGRAM_ALLOWED_USERS=123456789
GATEWAY_ALLOWED_USERS=123456789

Of gebruik code-gebaseerde koppeling in plaats van het plakken van numerieke ID's. Dit is de standaardinstelling voor chat-georiënteerde DM-platformen en u kunt dit expliciet instellen met unauthorized_dm_behavior: pair in ~/.hermes/config.yaml. Een onbekend account dat de agent een bericht stuurt, ontvangt een code van acht tekens en er gebeurt niets totdat u deze goedkeurt:

hermes pairing list
hermes pairing approve telegram ABC12DEF
hermes pairing revoke telegram 123456789

Codes verlopen na een uur, een gebruiker kan elke tien minuten een nieuwe code aanvragen en vijf mislukte pogingen blokkeren het betreffende account.

De impact van een gestolen telefoon beperken

Een telefoon die uw agent kan bereiken, is een telefoon die opdrachten op uw server kan uitvoeren, en telefoons raken kwijt. Bepaal nu wat de persoon die het apparaat in handen heeft, kan doen.

Houd goedkeuringen ingeschakeld. approvals.mode staat standaard op smart, wat een hulpmiddel vraagt om het risico te beoordelen en alleen opdrachten met een laag risico automatisch goedkeurt. Het instellen op off is hetzelfde als alles uitvoeren met --yolo, en HERMES_YOLO_MODE=1 doet dit via de omgeving. Draag geen telefoon bij u die in die staat met een agent communiceert. Stel approvals.cron_mode: deny in zodat geplande taken zichzelf niet kunnen goedkeuren terwijl u slaapt.

approvals:
  mode: smart
  cron_mode: deny

Geef de agent een beperktere omgeving om schade aan te richten. terminal.backend: docker voert opdrachten uit in een container die alle Linux-capabilities behalve een korte lijst laat vallen, stelt no-new-privileges in en beperkt het aantal processen, zodat de container de grens vormt in plaats van een prompt. terminal.cwd zet de werkmap vast. HERMES_WRITE_SAFE_ROOT beperkt write_file en patch tot de mappen die u opgeeft; een schrijfactie daarbuiten wordt geblokkeerd zonder dat goedkeuring dit kan overschrijven.

export HERMES_WRITE_SAFE_ROOT=/home/you/projects:/home/you/.hermes

Hermes blokkeert al schrijfacties naar ~/.ssh, ~/.aws, ~/.kube en /etc/sudoers, evenals naar zijn eigen geheime opslagplaatsen zoals ~/.hermes/.env. Project .env-bestanden elders op de schijf kunnen niet worden gelezen, maar blijven wel beschrijfbaar. Het weigert ook een strikte lijst met destructieve opdrachten, ongeacht uw goedkeuringsinstellingen. Beschouw dit als een ondergrens, niet als uw plan. Voer de agent uit als een gewone gebruiker, nooit als root. Dezelfde redenering geldt voor elke codeeragent die onbeheerd blijft draaien, en veilig Claude Code draaien op een VPS behandelt dit in meer detail.

Schrijf vervolgens de stappen voor intrekking op voordat u ze nodig heeft. Het verwijderen van het apparaat in de Tailscale-beheerdersconsole verbreekt direct de toegang tot het mesh-netwerk. Het wijzigen van HERMES_DASHBOARD_BASIC_AUTH_SECRET en het opnieuw opstarten maakt elke dashboardsessie op elk apparaat ongeldig, omdat die waarde de sessiecookie ondertekent. Het verwijderen van de publieke sleutel van de telefoon uit ~/.ssh/authorized_keys beëindigt SSH. hermes pairing revoke telegram <user-id> verwijdert een berichtenaccount. Als het apparaat iets bevatte waarmee uw providersleutels konden worden gelezen, trek deze dan in met hermes auth logout <provider> en vraag nieuwe aan bij de provider.

Controleer het resultaat in plaats van ervan uit te gaan. Dit zijn opdrachten die u op uw eigen systeem uitvoert, en wat ze weergeven hangt af van uw configuratie:

tailscale status
hermes pairing list
hermes logs gateway -n 100
hermes status --deep

De logs bevinden zich onder ~/.hermes/logs/. Lees ze na een incident, en lees ze af en toe wanneer er geen incident is geweest.

FAQ

Is er een officiële Hermes mobiele app voor iOS of Android?

Nee. De Hermes repository levert een command line interface, een web dashboard en een Electron desktop client voor macOS, Windows en Linux. Er is geen first-party build voor iOS of Android. Gebruik vanaf een telefoon het web dashboard in een browser, een SSH-client of een messaging-platform dat is verbonden via hermes gateway. Er bestaan wel mobiele clients van derden; aangezien dit externe code is die inloggegevens voor uw agent beheert, dient u de broncode te controleren voordat u deze installeert.

Waarom logt het Hermes dashboard mij uit op mijn telefoon?

Dit hangt af van de inlogprovider. De Nous Portal OAuth-provider geeft toegangstokens uit met een TTL van 15 minuten en vernieuwt deze op de achtergrond met een roterend refresh token. Een verlopen toegangstoken op zichzelf stuurt u dus niet door naar /login. Bij releases van vóór v0.21.3 (tag v2026.9.14) kon een telefoon die vanuit de achtergrond terugkeerde meerdere verzoeken tegelijk versturen, waardoor het zojuist geroteerde refresh token opnieuw werd gebruikt en de gehele sessie werd ingetrokken; dit dwingt inderdaad een nieuwe inlog af. v0.21.3 lost dit op, waarbij een inactieve refresh-sessie na 30 dagen nog steeds verloopt. De gebruikersnaam- en wachtwoordprovider hanteert standaard een toegangstoken van 12 uur, ingesteld via session_ttl_seconds, wat enkel bepaalt hoe vaak het dashboard op de achtergrond ververst. Dit vernieuwt via een refresh token van 30 dagen dat bij elke verversing opnieuw wordt uitgegeven, waardoor een inlog via wachtwoord niet na 12 uur eindigt. Stel bij deze provider HERMES_DASHBOARD_BASIC_AUTH_SECRET in op een stabiele, willekeurige waarde. Zonder deze instelling genereert Hermes bij elke start een nieuwe signing key, waardoor u bij elke herstart wordt uitgelogd.

Kan ik het Hermes dashboard veilig op het openbare internet plaatsen?

Alleen met authenticatie die u zelf heeft geverifieerd. De auth-poort wordt ingeschakeld op basis van het bind-adres, en bij huidige releases ook wanneer dashboard.public_url een niet-loopback host specificeert. Een dashboard dat is gebonden aan 127.0.0.1 achter een reverse proxy zonder ingestelde publieke URL, vraagt het internet daarom nooit om een inlog. Voer curl -s https://your-host/api/status | jq '.auth_required' uit en controleer de uitvoer. Gebruik liever OAuth of OIDC in plaats van een gebruikersnaam en wachtwoord, aangezien de documentatie van het project aangeeft dat de wachtwoordprovider bedoeld is voor vertrouwde netwerken en VPN's. Een privaat mesh-netwerk vermijdt deze vraag volledig, wat de reden is dat dit de betere standaardoptie is.

Heb ik een Tailscale-account nodig, of kan ik de control plane zelf hosten?

U kunt deze zelf hosten. Headscale is een open implementatie van de Tailscale coordination server, en officiële Tailscale-clients maken hiermee verbinding via tailscale up --login-server https://headscale.example.com. U beheert vervolgens zelf de lijst met apparaten die toegang hebben tot het mesh-netwerk. De keerzijde is dat u deze server zelf moet draaien en back-uppen; zolang deze offline is, kunt u geen apparaten aanmelden of opnieuw authenticeren.

Hoe krijg ik een melding op mijn telefoon wanneer de agent een taak voltooit?

Gebruik de messaging gateway. Het dashboard en SSH hebben geen mogelijkheid om een telefoon te wekken, omdat er geen Hermes-app op het apparaat aanwezig is om een push-bericht te ontvangen. Verbind de agent met Telegram, Signal, Discord of een ander ondersteund platform via hermes gateway setup, en laat de app van dat platform de bezorging afhandelen. Een cron job kan ook een enkel bericht versturen met hermes send -t telegram -s "Job done" -f /path/to/report.txt, wat wordt afgeleverd zonder het model aan te roepen.