# Worker node

> Agent konteynerlerini ana PentAGI sunucusundan ayrı, özel ve güvenlik açısından güçlendirilmiş bir sunucuda çalıştırın.

Üretim ortamında, güvenilmeyen [tool](https://pentagi.com/tr/docs/glossary/#tool) yürütmelerini PentAGI'nin çalıştığı makineden uzak tutun. Bir [worker node](https://pentagi.com/tr/docs/glossary/#worker-node), [agents](https://pentagi.com/tr/docs/glossary/#agent)'ın konteynerlerini TLS korumalı Docker uç noktaları arkasında barındırır; böylece bir agent'ın çalıştırdığı komutlar asla ana sunucuya erişmez.

```mermaid
graph TB
  accTitle: Main node running PentAGI and a separate worker node running the tool containers
  subgraph Main node
    PA[PentAGI]
  end
  subgraph Worker node
    HD[Host Docker :2376 TLS]
    DIND[Docker-in-Docker :3376 TLS<br/>authorization policy + seccomp]
    W[Worker containers]
    N[Nested containers]
  end
  PA -->|TLS, creates workers| HD
  HD --> W
  W -->|TLS| DIND
  DIND --> N
```

## [Neden worker node](https://pentagi.com/tr/docs/deployment/worker-node/#why-a-worker-node)

* **Yalıtım.** Tool konteynerleri, kendi ağ sınırlarına sahip özel donanımlarda çalışır.
* **Kontrollü Docker erişimi.** Docker'a ihtiyaç duyan agents, ana sunucu daemon'u yerine bir yetkilendirme politikası aracılığıyla güçlendirilmiş bir Docker-in-Docker daemon'u ile iletişim kurar.
* **Bant dışı test.** Worker node üzerindeki özel bir port aralığı, OOB geri çağrılarını destekler.

## [Bağlantı modları](https://pentagi.com/tr/docs/deployment/worker-node/#connection-modes)

* **Standart (önerilen)** — PentAGI, işçi konteynerlerini oluşturmak için worker node'un ana Docker daemon'una TLS üzerinden bağlanır; işçiler ise Docker-in-Docker'a kendi TLS uç noktası üzerinden erişir. `DOCKER_INSIDE=true` ayarını `DOCKER_INSIDE_HOST`, `DOCKER_INSIDE_TLS_VERIFY` ve `DOCKER_INSIDE_CERT_PATH` ile birlikte yapılandırın ve `DOCKER_SOCKET` boş bırakın: aksi takdirde `.env` şablonunun `/var/run/docker.sock` özelliği, worker node'un ana Docker socket'ini her bir [sandbox](https://pentagi.com/tr/docs/glossary/#sandbox) içine de monte eder. `DOCKER_INSIDE_HOST` olmadan agent'lar Docker erişimi elde edemez.
* **Doğrudan** — PentAGI, Docker-in-Docker ile doğrudan iletişim kurar; bu durumda ana sunucu bind-mount işlemleri politika tarafından reddedilir, bu nedenle agents için Docker erişimi devre dışı bırakılmalıdır.

## [Kurulum](https://pentagi.com/tr/docs/deployment/worker-node/#set-it-up)

Her iki daemon için TLS sertifikaları, güçlendirilmiş Docker-in-Docker yapılandırması, politika güncellemeleri ve doğrulama dahil olmak üzere eksiksiz prosedür, depodaki [worker node kılavuzunda](https://github.com/vxcontrol/pentagi/blob/main/examples/guides/worker_node.md) yer almaktadır.