Devin Connect

​

Devin Connect 的作用

• 反向隧道：Gateway 通过 TLS 向 Devin 侧的端点发起出站连接，Devin 再通过该隧道下发连接请求。你的网络无需开放任何入站通道，也不需要对接任何云服务商。
• AWS PrivateLink：你在 Gateway 前置一个 Network Load Balancer 和一个 VPC Endpoint Service，Cognition 则在你的专用租户 VPC 中通过 Interface VPC Endpoint 接入。流量始终保持在 AWS 骨干网内，Devin 通过私有 IP 直接连接 Gateway。

• 专用的 single-tenant VPC。 你的 Devin 部署运行在独立的 VPC 中 (参见客户专属部署模型) 。Devin 虚拟机通过 Cognition 配置的出口控制，将发往你已 route 目标的流量导向 Gateway。
• 默认拒绝，双重强制执行。 route 会在 Gateway 侧和 Devin 侧同时强制执行，因此仅修改一侧的配置无法扩大访问范围。为某个目标配置 route 绝不会扩大会话的权限：会话的 security profile 仍然必须允许该访问。
• 应用层 TLS 端到端。 Gateway 只转发不透明的字节流。
• DNS 始终保留在你的网络内部。 route 目标由你的解析器解析 (默认使用 Gateway 主机的系统解析器，也可使用你配置的 nameservers) 。
• 一次部署覆盖所有已 route 的目标。 你只需在 Devin 设置中添加主机名和 IPv4 地址范围，而无需为每个服务单独搭建链路。

​

选择连接模式

​

配置 Devin Connect

1. 选择 “Add gateway”，为其命名并选择连接方式：“Tunnel” 对应反向隧道，“Direct” 对应 AWS PrivateLink。如选择 “Direct”，还需填写 interface endpoint 的 DNS 名称和端口 (参见 AWS PrivateLink 选项卡) 。
2. 在 gateway 卡片上，针对 Devin 需要通过该 gateway 访问的每个目标，选择 “Add destination” 进行添加：目标可以是精确的主机名，也可以是 IPv4 地址或 CIDR (例如 10.20.0.0/16) 。不支持通配符。每个目标只能属于一个 gateway。
3. 对于隧道 gateway，选择 “Generate token” 完成注册。注册令牌仅显示一次，Devin 不会存储该令牌；你可以随时通过 “Regenerate token” 轮换或撤销令牌。Direct gateway 没有需要进行身份验证的隧道，因此无需执行此步骤。
4. 对于隧道 gateway，复制适用于你所用平台的部署代码片段 (Docker、Kubernetes、AWS ECS、基于 ECS 或 EC2 的 Terraform，或 Linux 主机) 。该代码片段包含根据 gateway 目标生成、可直接运行的 config.yaml，因此每次更改目标后都需重新复制。

​

主机名和 IPv4 目标

• 主机名根据会话所连接的名称进行匹配，该名称从 TLS SNI 或 HTTP Host 标头中读取。因此，主机名只能 route TLS 和明文 HTTP 流量。Gateway 会使用你的 DNS 解析该名称。
• IPv4 地址和 CIDR 根据连接的目标 IP 进行匹配，因此可以 route 任意 TCP 协议，包括 SSH 和数据库连接。对于这类 route，Devin 不会解析你的内部名称：会话需要通过 IP 地址连接，或者由你在环境中提供名称解析，例如在蓝图中配置的 /etc/hosts 条目。

​

连接模式

• 反向隧道
• AWS PrivateLink

Gateway 会向你的 tenant endpoint <customer>.gateway.devinenterprise.com:443 拨出 N 条 TLS 隧道，你无需开放任何入站端口。已注册的隧道只承载 Devin 侧向你的 Gateway 发起的数据流，并不构成通往 Devin 的入站通路。注册流程如下：

1. Devin 在 “Devin Connect” settings page 上为你签发隧道 gateway 所用的 enrollment token。
2. 你将该 token 安装到 Gateway 主机上 tunnel.auth_token_file 指向的路径。
3. Gateway 拨号连接 <customer>.gateway.devinenterprise.com:443，校验 Devin 边缘节点的 server 证书，并出示该 token。
4. 边缘节点验证该 token (与存储的摘要做恒定时间比较；原始 token 绝不会保存在 Devin 侧) 并注册该隧道。此后，Devin 侧对该 gateway 各目标地址的拨号都会经由该隧道传输。

隧道使用 tunnel 配置段进行配置，且不设置 listen 地址，因此 Gateway 主机完全不会暴露任何 proxy 端口：

tunnel:
  endpoint: acme.gateway.devinenterprise.com:443
  gateway_id: gw-1
  # 注册令牌，单行；每次尝试连接时都会重新读取，
  # 因此无需重启即可轮换。
  auth_token_file: /etc/devin-gateway/tunnel-token
  # carrier: websocket   # 默认值；设为 `direct` 可禁用 WebSocket 帧封装。
  # ca_file: corp-ca.pem # 仅在企业 TLS 检查代理对边缘连接
  #                      # 重新签发证书时才需要。
  # egress_proxy:        # 客户出口 HTTP CONNECT 代理（如有需要）。
  #   addr: proxy.corp.example:3128

字段	说明
endpoint	你的 tenant endpoint，即 <customer>.gateway.devinenterprise.com:443。
gateway_id	此 Gateway 实例的标识符，用于 logs 和 metrics。
auth_token_file	单行 enrollment token 文件的路径。
carrier	websocket (默认) 或 direct。两者在同一 TLS 连接内运行的协议完全相同；websocket 会额外加上 HTTP Upgrade 帧封装，适用于不支持透传原始 TLS 的出网路径。
ca_file	用于验证 Devin 边缘证书的 PEM CA bundle，仅当处于会重新签发证书的企业 TLS 检查代理之后时才需要。
egress_proxy	你的出网 HTTP CONNECT 代理 (addr，可选 auth) ，仅在出站流量必须经由代理时配置。
connection_pool	size (1-16 条隧道，可重载) 和 max_streams_per_connection (2-2048) 。

此模式的额外检查清单项：

• 允许 Gateway 出网访问 <customer>.gateway.devinenterprise.com:443 以及你已加入 allowlist 的内部服务。无需配置任何入站规则。
• 将 enrollment token 存放在你的 secret 管理器中，并以文件形式挂载。切勿将其写入 images、纳入 version control 的 config 或 logs；Gateway 也绝不会记录它。
• 你还可以向 Cognition 提供出网 CIDR 网段，以在 IP 层面限制该公共 endpoint (属于纵深防御；enrollment token 仍是身份验证的关口) 。

网关通过本地 HTTP CONNECT 监听器提供 allowlist 代理，Devin 则经由 PrivateLink 访问该监听器：

1. 在你的 AWS VPC 的私有子网中部署网关，并配置 listen 地址。
2. 在网关前放置一个 Network Load Balancer，将其目标指向监听端口，并基于该 NLB 创建 VPC Endpoint Service。
3. 将 Cognition 的 AWS 账户添加为 allowed principal，并把 endpoint service 名称发送给 Cognition。
4. Cognition 会在你的专用租户 VPC 中创建 Interface VPC Endpoint，并将其 DNS 名称发送给你。此时会向你的 endpoint service 发起连接请求，由你批准 (若你已在该服务上启用自动接受，则会自动通过) 。
5. 在“Devin Connect”设置页面添加一个使用“Direct”连接方式的网关，填写 interface endpoint 的 DNS 名称和监听端口，并添加该网关需要服务的目标地址。同时在网关的 routes 中配置相同的目标地址。

由于该 endpoint service 仅可由 Cognition 的账户使用，且 NLB 只在你的 VPC 内部，因此不存在公开监听器。访问授权由 endpoint service 上的 AWS 主体以及网关自身的默认拒绝 allowlist 共同控制。网关配置需将 listen 设置为 NLB 所指向的端口：

schema_version: 1
admin_listen: 0.0.0.0:9090

# NLB 所指向的本地 HTTP CONNECT 监听器。
listen: 0.0.0.0:8443

routes:
  - name: devin
    rules:
      - hostname: "git.corp.example"
      - hostname: "api.corp.example"
    ports: [443]

需要提供给 Cognition 的信息：

• VPC Endpoint Service 名称，例如 com.amazonaws.vpce.us-west-2.vpce-svc-0abc123。
• NLB 对外暴露的侦听器端口。
• 确认 Cognition 的 AWS 账户已被列为允许的主体。
• 如果你的 Devin 租户所在区域与 Gateway 所在区域不同，请确认该 endpoint service 是否支持 Devin 租户所在区域。

此模式的额外检查项：

• 将 NLB 目标部署在多个可用区中运行。
• 如果你的服务与 Devin 租户不在同一区域，请在 endpoint service 上启用跨区域支持，具体步骤与专用部署私有网络中的一致。

​

配置参考

schema_version: 1

# Admin 监听器（/healthz、/readyz、/metrics）。
admin_listen: 127.0.0.1:9090

# 数据平面监听器。仅适用于 PrivateLink（direct）模式：无 `tunnel` 段时为必填，
# 有 `tunnel` 段时将被拒绝。
# listen: 0.0.0.0:8443

# 用于解析路由目标的客户侧 DNS（省略时使用系统解析器）。
dns:
  nameservers: ["10.0.0.2:53"]
  timeout: 5s

# 默认拒绝的允许列表。rules 支持主机名及 ipv4/ipv6 CIDR。
# 省略 ports 表示任意端口。
routes:
  - name: scm
    rules:
      - hostname: "git.corp.example"
      - hostname: "artifacts.corp.example"
    ports: [443]
  - name: internal-api
    rules:
      - hostname: "api.corp.example"
    ports: [443]
  - name: build-hosts
    rules:
      - ipv4: "10.20.0.0/16"
    ports: [22]

# 通向 Devin 侧边缘节点的出站隧道。在 PrivateLink 模式下请省略。
tunnel:
  endpoint: acme.gateway.devinenterprise.com:443
  gateway_id: gw-1
  auth_token_file: /etc/devin-gateway/tunnel-token

​

Routes (允许列表)

​

监听器

​

DNS

​

运行 Gateway

gateway serve --config /etc/devin-gateway/config.yaml
gateway validate-config --config config.yaml   # 严格的配置校验
gateway doctor --config config.yaml            # JSON 格式的诊断摘要

• /healthz 用于进程存活状态。
• /readyz 用于就绪状态。
• /metrics 用于 Prometheus 指标。

• 在私有子网中运行 Gateway。
• 将 /healthz 和 /readyz 接入你的 orchestrator 健康检查。
• 保持 Devin 设置中每个 gateway 的目标地址与其 Gateway 配置中的 route 同步；仅在一侧被允许的目标地址无法访问。

​

日志与 SIEM 集成

• conn_open 和 conn_close，包含目标主机和端口、匹配到的路由名称、客户端地址、各方向传输的字节数以及持续时长。
• deny，包含目标地址和原因 (例如没有匹配的允许列表路由) 。