Air-gapped Devin: Netzwerk und Zertifikate

Diese Dokumentation gilt für föderale Deployments von Devin. Zurück zur Devin-Dokumentation

Die air-gapped CLI und Devin Desktop verbinden sich mit den Modell-Endpunkten aus Ihrer Modelldatei, dem Issuer des Identitätsanbieters aus Ihrer Auth-Datei sowie mit allen lokal konfigurierten MCP-Servern. Auf dieser Seite erfahren Sie, welche Voraussetzungen Ihr Netzwerk für diese Verbindungen erfüllen muss: TLS-Vertrauen, ein optionaler Proxy und die Codes, die bei einem Verbindungsfehler angezeigt werden.

TLS-Anforderungen

Jede Modell-base_url und der SSO-issuer müssen https:// verwenden. Unverschlüsseltes http:// wird nur für Loopback-Hosts (localhost, 127.0.0.0/8, [::1]) akzeptiert.
Zertifikate werden anhand des Vertrauensspeichers des Betriebssystems geprüft (Security.framework unter macOS, der System-CA-Speicher unter Linux). Wenn Ihre Endpunkte von einer CA signiert sind, die bereits auf der Workstation installiert ist, ist keine weitere Konfiguration erforderlich.
Wenn Ihre Endpunkte von einer privaten CA signiert sind, die sich nicht im Vertrauensspeicher des Betriebssystems befindet, fügen Sie sie wie unten beschrieben über DEVIN_CA_BUNDLE hinzu. Die CLI deaktiviert die Zertifikatsprüfung grundsätzlich nicht.

Einer privaten CA mit `DEVIN_CA_BUNDLE` vertrauen

DEVIN_CA_BUNDLE verweist auf eine PEM-Datei, deren Zertifikate zusätzlich zum Vertrauensspeicher des Betriebssystems als vertrauenswürdig gelten. Die Variable gilt für Inferenzanfragen, für Prüfungen durch devin airgap doctor sowie für jede Anfrage, die die CLI während der SSO-Anmeldung und -Revalidierung an Ihren IdP sendet.

Paket zusammenstellen

Legen Sie das Root-Zertifikat (und, falls vorhanden, die Zwischenzertifikate) Ihrer privaten CA in einer einzigen PEM-Datei ab. Die Datei darf mehrere -----BEGIN CERTIFICATE------Blöcke enthalten.

sudo install -m 0644 ./corp-root-ca.pem /etc/devin/ca-bundle.pem

Ihre Endpunkte müssen weder ein Zertifikat noch eine CA gemeinsam nutzen. Es gibt nur ein Paket für den gesamten Agent-Prozess, und es gilt für jede Verbindung. Wenn verschiedene Endpunkte von unterschiedlichen privaten CAs signiert sind, fassen Sie daher alle diese CAs in derselben Datei zusammen:

cat ./corp-root-ca.pem ./ml-platform-ca.pem ./idp-root-ca.pem | sudo tee /etc/devin/ca-bundle.pem > /dev/null
sudo chmod 0644 /etc/devin/ca-bundle.pem

Mit diesem Paket gelten https://vllm.corp.example (signiert von corp-root-ca), https://models.ml.example (signiert von ml-platform-ca) und Ihr IdP (signiert von idp-root-ca) als vertrauenswürdig. Endpunkte, deren CA sich bereits im Vertrauensspeicher des Betriebssystems befindet, benötigen keinen Eintrag. Die Modelldatei enthält keine modellspezifischen Zertifikats- oder TLS-Felder, und separate Pakete pro Endpunkt werden nicht unterstützt.

Variable in der Umgebung des Agents exportieren

export DEVIN_CA_BUNDLE=/etc/devin/ca-bundle.pem

Die Variable muss für den Prozess sichtbar sein, der den Agent ausführt. Setzen Sie sie für die Terminal-CLI im Shell-Profil jedes Nutzers. Für Desktop setzen Sie sie auf dieselbe Weise wie die API-Schlüssel-Variablen der Modelle (siehe API-Schlüssel als Umgebungsvariablen): Fügen Sie sie der Einstellung devin.acp.agentEnv hinzu, oder verwenden Sie unter macOS launchctl setenv DEVIN_CA_BUNDLE /etc/devin/ca-bundle.pem (open übergibt die Umgebung Ihrer Shell nicht an die App).

Mit doctor überprüfen

devin airgap doctor

…
pass  CA bundle                                 /etc/devin/ca-bundle.pem (3 certificate(s))
pass  model 'llama-3.3-70b': endpoint reachability  GET https://vllm.corp.example/v1/models -> 200 OK (trusted only via DEVIN_CA_BUNDLE — the OS trust store alone rejects this endpoint's certificate)
pass  model 'qwen3-vl-32b': endpoint reachability  GET https://models.ml.example/v1/models -> 200 OK (trusted only via DEVIN_CA_BUNDLE — the OS trust store alone rejects this endpoint's certificate)
…

Das Suffix trusted only via DEVIN_CA_BUNDLE bestätigt, dass der Endpunkt erst durch das Paket vertrauenswürdig wird: doctor wiederholt die Verbindung zu jedem erreichbaren Endpunkt ausschließlich mit dem Vertrauensspeicher des Betriebssystems und meldet, ob dieser Versuch an TLS scheitert. Ist die Variable nicht gesetzt, lautet die Zeile für das CA-Paket not configured (OS trust store only; set DEVIN_CA_BUNDLE to add a private CA).

Wenn die Datei nicht lesbar ist, einen ungültigen PEM-Abschnitt oder keine Zertifikate enthält, lässt doctor die Prüfung CA bundle mit CFG004 und der Meldung des Parsers fehlschlagen (zum Beispiel failed to read CA bundle '/etc/devin/ca-bundle.pem': No such file or directory). Zur Laufzeit führt derselbe Zustand nicht zum Abbruch: Die CLI gibt eine Zeile warning: ignoring DEVIN_CA_BUNDLE: … aus und greift auf den Vertrauensspeicher des Betriebssystems zurück. Ein Tippfehler im Pfad äußert sich daher nicht als Fehler beim Start, sondern als NET003-TLS-Fehlschläge bei Ihren Endpunkten. Korrigieren Sie das Paket und führen Sie doctor erneut aus.

Proxy

Die air-gapped CLI verarbeitet ausgehende Proxy-Verbindungen genauso wie die Standard-Devin CLI. Standardmäßig ("mode": "system") berücksichtigt sie die Umgebungsvariablen HTTP_PROXY, HTTPS_PROXY, ALL_PROXY und NO_PROXY sowie die PAC-/Auto-Proxy-Settings des Betriebssystems. Um einen bestimmten Proxy zu erzwingen oder Proxys vollständig zu umgehen, fügen Sie der Benutzerkonfigurationsdatei (config.json im gemeinsamen Devin-Konfigurationsverzeichnis; siehe Formate auf dem Datenträger) einen proxy-Block hinzu:

{
  "proxy": {
    "mode": "manual",
    "url": "http://proxy.corp.example:8080",
    "no_proxy": "localhost,127.0.0.1,.corp.example"
  }
}

`mode`	Verhalten
`"system"` (Standard)	Verwendet Proxy-Umgebungsvariablen und die PAC-Einstellungen der Plattform.
`"manual"`	Leitet den gesamten Datenverkehr über `url` (`http://`, `https://` oder `socks5://`). Über Umgebungsvariablen definierte Proxys werden ignoriert.
`"off"`	Verbindet direkt; alle Proxy-Settings werden ignoriert.

no_proxy gilt in jedem Modus und verwendet dieselbe Syntax wie die Umgebungsvariable NO_PROXY. Um den Proxy für alle Nutzer auf einem Host festzulegen, fügen Sie denselben proxy-Block in die machine-wide Richtliniendatei system.json ein (/etc/devin/system.json unter Linux, /Library/Application Support/Devin/system.json unter macOS, C:\ProgramData\Devin\system.json unter Windows). Wenn beide Dateien proxy definieren, startet die CLI erst, nachdem Sie die Kopie in der Nutzerdatei entfernt haben. Die vollständige Referenz aller Optionen finden Sie in der Referenz zur CLI-Konfigurationsdatei. Ein Proxy, der TLS terminiert und den Datenverkehr mit seiner eigenen CA neu signiert, gilt als private CA: Fügen Sie sein Zertifikat zu DEVIN_CA_BUNDLE hinzu. Verbindungen werden weiterhin ausschließlich zu den oben auf dieser Seite aufgeführten Zielen aufgebaut; der Proxy ändert nur den Weg, nicht die Ziele selbst.

Timeouts

Verbindung	Timeout
`devin airgap doctor`-Prüfungen (Verbindungsaufbau und insgesamt)	10 Sekunden pro Anfrage
SSO-Anfragen an den IdP (automatische Erkennung, Token, JWKS)	30 Sekunden pro Anfrage
Inferenzanfragen	30 Sekunden für den Verbindungsaufbau; Abbruch des Lesevorgangs nach 300 Sekunden ohne Daten

Eine Prüfung, die ihr Timeout überschreitet, wird als NET005 gemeldet.

NET-Codes

devin airgap doctor versieht jede fehlgeschlagene Endpunkt-Prüfung mit einem dieser Codes. Dieselben Codes begegnen Ihnen auch in Supportanfragen. Den vollständigen Katalog finden Sie auf der Seite Fehlercodes.

Code	Bedeutung	Vorgehen
`NET001`	Die DNS-Auflösung des Endpunkt-Hosts ist fehlgeschlagen.	Prüfen Sie den Hostnamen in der Modell- bzw. Auth-Datei und ob der Resolver der Workstation ihn auflösen kann (`getent hosts <host>` oder `dig <host>`).
`NET002`	Die TCP-Verbindung konnte nicht hergestellt werden (abgelehnt, zurückgesetzt, nicht routbar).	Prüfen Sie, ob der Port von der Workstation aus erreichbar ist und ob eine Firewall oder ein Proxy ihn zulässt.
`NET003`	Der TLS-Handshake ist fehlgeschlagen (nicht vertrauenswürdiges, abgelaufenes oder nicht übereinstimmendes Zertifikat). Doctor gibt zusätzlich das vom Server vorgelegte Zertifikat aus (`subject`, `issuer`, `expires`), sofern es abgerufen werden kann, und zeigt an, ob `DEVIN_CA_BUNDLE` aktiv war.	Ist der Issuer Ihre private CA, setzen oder korrigieren Sie `DEVIN_CA_BUNDLE`. Ist das Zertifikat abgelaufen oder stimmt sein Name nicht mit der URL überein, korrigieren Sie das Serverzertifikat.
`NET004`	Der Endpunkt hat einen Fehlerstatus (HTTP) außer 401/403 zurückgegeben. Ein `404` bei `GET {base_url}/models` ist nur eine Warnung, da einige OpenAI-kompatible Server `/models` nicht implementieren.	Prüfen Sie, ob `base_url` das korrekte Präfix enthält (in der Regel `/v1`) und ob der Server fehlerfrei läuft.
`NET005`	Zeitüberschreitung der Anfrage.	Prüfen Sie die Netzwerklatenz und ob der Endpunkt überlastet ist. Die `/models`-Prüfung sollte innerhalb von 10 Sekunden eine Antwort liefern.
`NET006`	Der Endpunkt hat die konfigurierten Anmeldedaten abgelehnt (HTTP 401/403).	Prüfen Sie den Wert der Umgebungsvariable, die in `api_key.env` des Modells angegeben ist.

Code	Bedeutung	Vorgehensweise
`CFG002`	Die in `api_key.env` eines Modells angegebene Umgebungsvariable ist in der Umgebung des Agents nicht gesetzt. Doctor überspringt die Netzwerk-Prüfungen für dieses Modell.	Exportieren Sie die Variable in der Umgebung, aus der der Agent gestartet wird; siehe Modelldatei.
`CFG004`	Die Datei `DEVIN_CA_BUNDLE` fehlt, ist nicht lesbar oder enthält keine gültigen PEM-Zertifikate.	Korrigieren Sie den Pfad oder den Dateiinhalt; die Meldung gibt den Parsing-Fehler an.

​TLS-Anforderungen

​Einer privaten CA mit DEVIN_CA_BUNDLE vertrauen

​Proxy

​Timeouts

​NET-Codes

​Zugehörige CFG-Codes

TLS-Anforderungen

Einer privaten CA mit `DEVIN_CA_BUNDLE` vertrauen

Proxy

Timeouts

NET-Codes

Zugehörige CFG-Codes