Een organisatie die Tailscale Aperture al gebruikt, heeft een plek voor modelproviders, credentials en toegangsbeleid. Een applicatieplatform koppelen mag niet betekenen dat je die providersleutels naar een tweede systeem kopieert.

We hebben ondersteuning gebouwd voor Tailscale Aperture als upstream-provider in de Anchras AI-gateway. Applicaties blijven Anchras aanroepen met hun eigen API-keys. Anchras stuurt de modelverzoeken over de tailnet naar Aperture. De providersleutels blijven in Aperture.

De koppeling ondersteunt nu routing via een agent op je eigen tailnet. Een geregistreerde Anchras-agent op je tailnet maakt voor de gehoste gateway verbinding met Aperture. De gehoste Anchras-server hoeft daardoor geen lid te worden van je tailnet.

Volg één verzoek

Op een tailnet dat je zelf beheert, volgt het verzoek dit pad:

VOLG HET VERZOEKEén ingang. Jouw modelkeuze.
01 / VERZOEK Applicatie Je app of agent Scoped applicatiekey
02 / GATEWAY AI-gateway Applicatieroutes
Guardrails & gebruik Controle per applicatie
03 / JE TAILNET Egress-agent Geregistreerde Anchras-agent
Reverse tunnel Tailscale-identiteit van de agent
04 / MODELTOEGANG Modelrouting Providerverbindingen
Modeltoegangsbeleid Toegang voor de agent
05 / LOKALE INFERENTIE Lokale AI Ollama · vLLM · llama.cpp Je hardware. Je runtime.
05 / GEHOSTE INFERENTIE Gehoste modellen Goedgekeurde externe provider Providersleutels blijven in Aperture.
VOORBEELDROUTE

Een interne kennisassistent vraagt een lokaal model aan. Anchras stuurt het verzoek via de egress-agent naar Aperture, dat het doorstuurt naar de ingestelde runtime op je hardware.

Eigen tailnet: de gateway bereikt Aperture via een geregistreerde egress-agent. Op beheerde tailnets of een zelfgehost control plane met tailnet-toegang kan de server rechtstreeks verbinden met zijn eigen identiteit. Aperture kiest de provider op basis van de modelnaam; het diagram impliceert geen automatische inhoudsclassificatie. Antwoorden volgen dezelfde route terug.

De gateway opent een reverse tunnel via een geregistreerde agent op hetzelfde tailnet als Aperture. Die agent vormt het uitgaande verbindingspunt en maakt verbinding via zijn eigen Tailscale-node. Modeldiscovery gebruikt hetzelfde pad. Op een beheerd tailnet, of bij een zelfgehost control plane met tailnet-toegang, kan de server rechtstreeks verbinden.

Anchras blijft het aanspreekpunt voor applicaties: modelroutes, applicatiekeys, guardrails en gebruiksregistratie. Aperture handelt de volgende hop af met de providers en toegangsregels die daar staan. Tailscale beschrijft hoe Aperture het verbindende apparaat identificeert en een provider kiest op basis van de gevraagde modelnaam in de architectuurgids.

Zo ontstaat een werkbare taakverdeling: applicatieroutes beheer je in Anchras, de onderliggende providerverbindingen in Aperture. Een providersleutel die je in Aperture roteert, hoeft niet naar de applicaties te worden verdeeld en hoeft voor deze koppeling niet in Anchras te staan.

Lokale AI hoort in dezelfde route thuis

Een lokaal model kan de bestemming achter Aperture zijn. Tailscale ondersteunt zelfgehoste runtimes met een OpenAI-compatibele Chat Completions-API, waaronder Ollama, vLLM en llama.cpp. Stel het eindpunt en de modelnamen van de runtime in Aperture in, maak de runtime bereikbaar vanaf de Aperture-host en registreer de bijbehorende modelroute in Anchras. Zie de gids van Tailscale voor zelfgehoste modellen.

Een team kan bijvoorbeeld zijn interne kennisassistent een lokaal model laten gebruiken, terwijl een aparte assistent voor publieke content een goedgekeurd gehost model mag gebruiken. Beide applicaties gebruiken Anchras als ingang. De beheerder bepaalt welke modellen en routes zijn toegestaan; deze integratie beslist niet welke prompts veilig buiten de organisatie mogen.

Lokaal zegt waar de inferentie draait. Verzoeken passeren nog altijd Anchras en Aperture, dus hun hostinglocatie, toegang en retentie-instellingen blijven deel van het datapad. Deze koppeling zet geen lokale runtime voor je op. Onze gids voor lokale AI met Anchras gaat dieper in op de bredere infrastructuur en het beheermodel.

Welke identiteit ziet Aperture?

Aperture ziet de Tailscale-identiteit van de node die verbinding maakt. Op je eigen tailnet is dat de node van de egress-agent. Bij een rechtstreekse verbinding is het de node van de Anchras-server. Aperture ontvangt niet automatisch de identiteit van elke Anchras-gebruiker of -applicatie; Anchras houdt de attributie per applicatie in de eigen gatewayregistratie.

Geef de verbindende node, of zijn tag, de nodige modeltoegang in Aperture. De agent wordt per verbinding gekozen. Geef daarom alle geschikte egress-agents of hun gedeelde tag toegang. Blijf in Anchras scoped applicatiekeys en beleid gebruiken voor beperkingen per applicatie.

Voor routing via een agent moet een geregistreerde agent online zijn op hetzelfde tailnet als de Aperture-node, met een release die Aperture-peer-tunnels ondersteunt. Oudere agents weigeren het tunnelcommando. Aperture moet een aparte peer-node zijn; dit pad verbindt niet terug naar de agent zelf en loopt niet via een subnetrouter. De integratie configureert Aperture niet en maakt geen aparte Tailscale-identiteit per applicatie aan.

Voeg de provider toe

Kies in de AI-gateway Tailscale Aperture onder On your tailnet en selecteer de Aperture-node. Anchras haalt de nodes op via je gekoppelde tailnet-provider en leidt de URL af van de MagicDNS-naam van de gekozen node. Je kunt de URL ook handmatig invoeren. Laat providersleutels uit de setup. De preset gebruikt de provider-slug tailscale-aperture. Behoud die slug: daarmee kies je de identiteitsauthenticatie en het beperkte netwerktransport van de integratie.

Met de CLI kun je eerst de nodes en hun verbindingspad bekijken:

anchras ai providers aperture-nodes

anchras ai providers create \
  --slug tailscale-aperture \
  --name 'Tailscale Aperture' \
  --base-url 'http://aperture.your-tailnet.ts.net/v1'

anchras ai providers discover --id PROVIDER_ID

Vervang de voorbeeldhostname door je Aperture-hostname en PROVIDER_ID door de teruggegeven provider-ID. Discovery somt modellen op zonder ze te registreren. Kies daarna welke modellen je registreert en configureer hun routes, of gebruik de optionele automatische import in het dashboard. De gids van de AI-gateway bevat de API-equivalenten en de commando's voor routes.

Bij het opslaan importeert Anchras de gekozen node in de tailnet-apparaatinventaris van je organisatie en controleert het de voorwaarden voor de route. Een ontbrekend apparaat of een eigen tailnet zonder egress-agent geeft een fout met de concrete reden. Discovery leest die inventaris; importeer de node opnieuw als zijn adres verandert.

Zowel een origin-URL als een URL die op /v1 eindigt, werkt. De server stuurt geen provider-bearertoken en geen API-key naar Aperture. Nieuwe credentialkoppelingen worden voor deze provider geweigerd; oude worden genegeerd. Zet de vereiste sleutel van de modelprovider in Aperture zelf, volgens de installatiegids van Tailscale.

Laat het model bij het verzoekformaat passen

Deze integratie gebruikt de bestaande OpenAI-compatibele upstream-paden van de Anchras-gateway. Chat Completions vereist een model waarvan de Aperture-provider openai_chat ondersteunt. De Anchras Messages-adapter vertaalt verzoeken ook naar dat upstream-formaat. Een model in discovery is geen bewijs dat het het formaat van jouw applicatie ondersteunt. Controleer de compatibiliteitsreferentie van Aperture.

De gateway biedt via deze integratie geen Responses of native Anthropic-, Gemini- of Bedrock-forwarding. Ondersteuning voor embeddings moet je afzonderlijk verifiëren. De integratie beheert de configuratie van Aperture niet en koppelt de MCP-tools ervan niet. De bestaande buffering van gatewayantwoorden blijft van kracht.

Houd de hele route onder controle

De Aperture-verbinding is beperkt tot Tailscale-adressen in de apparaatinventaris van je organisatie. Bij rechtstreekse verbindingen worden DNS en eigenaarschap telkens gecontroleerd. Bij routing via een agent legt de server het doeladres vast op basis van de inventaris. De agent verbindt via zijn eigen Tailscale-node, zonder terug te vallen op het hostnetwerk. HTTP-proxy's uit de omgeving worden omzeild en redirects geweigerd. Publieke eindpunten, loopback-bruggen en privéadressen via subnetrouting vallen buiten het ondersteunde pad.

Die private verbinding bepaalt niet waar het uiteindelijke model data verwerkt. Beoordeel de gekozen modelprovider naast beide gateways. De retentie-instellingen van Anchras configureren de retentie van Aperture niet; elk systeem heeft een eigen controle nodig.

Als Aperture elk verzoek moet beheersen, moet het in elke toegestane route zitten. Een Anchras-fallback die een modelprovider rechtstreeks aanroept, kan Aperture omzeilen. Test modeldiscovery, modeltoegang, een geweigerd verzoek en het wegvallen van de egress-agent voordat je de route voor applicaties inschakelt.