2026 OpenClaw :
Docker isolé vs install.sh bare metal

La passerelle d'OpenClaw est un plan de contrôle de longue durée : WebSockets, CLI RPC, sessions et adaptateurs partagent un seul écouteur, par défaut 18789. Docker excelle dans l'envoi de couches immuables, mais le plan de contrôle est intrinsèquement dynamique. Lorsque les opérateurs traitent les conteneurs comme du bétail mais omettent les montages de volume explicites pour OPENCLAW_HOME, les caches de canaux s'évaporent lors de la recréation, les clients distants observent des déconnexions fantômes et les nouvelles tentatives d'automatisation s'amplifient jusqu'à ce que les fournisseurs vous limitent. Les portées de liaison ajoutent un deuxième mirage : la liaison 127.0.0.1 à l'intérieur d'un espace de noms réseau n'est pas la même chose que la publication sur le réseau local hôte auquel vos coéquipiers s'attendent, de sorte que les CLI et les proxys inverses semblent « presque accessibles » tandis que la passerelle n'expose jamais réellement l'interface que vous avez testée sur du métal nu.

Le troisième mirage est diagnostique :openclaw doctor pourrait transmettre l'hyperviseur car les capacités de la libc et du noyau diffèrent du moteur d'exécution mince extrait de votre fichier de composition. Quatrièmement, les jetons et le matériel d'actualisation stockés uniquement dans la couche inscriptible semblent corrects jusqu'à ce que Kubernetes ou Compose recrée la tâche ; du coup, chaque canal doit être réautorisé pendant une fenêtre de pointe. Cinquièmement, des équipes multirégionales garent accidentellement la passerelle dans un VPS bon marché pendant que les opérateurs humains discutent depuis Tokyo ou Séoul, ce qui rend les interactions CLI occasionnelles lentes même si les cartes CPU semblent inactives. Ensemble, ces pièges poussent les équipes vers des installations sans système d'exploitation renforcées avec install.sh ou vers Docker, mais seulement après avoir appris à associer des volumes, à publier des cartes et des URL WebSocket explicites avec leur automatisation.

Les installations sans système d'exploitation remplacent l'immuabilité des couches par un comportement plus proche du métal : les unités LaunchDaemon ou systemd redémarrent comme n'importe quel autre service, les postes de travail peuvent héberger des assistants adjacents à Safari ou Xcode sans problème de virtualisation imbriquée, et l'observabilité s'aligne sur vos agents hôtes existants. Le coût est la discipline (mises à niveau du système d'exploitation, dérive Xcode CLT et variation de la flotte), là où Docker souhaitait que tout reste uniforme. La décision est donc opérationnelle : optimisez-vous pour des images identiques circulant via CI, ou pour des flux de travail Apple interactifs situés à côté du plan de contrôle ? La plupart des flottes réglementées fonctionnent finalement à la fois : Docker pour les applications de révision jetables, bare metal pour les passerelles de production qui ne doivent jamais perdre de jetons en silence.

L'automatisation lourde du navigateur, les téléchargements manuels TestFlight ou les sessions de partage d'écran de bureau penchent toujours vers les hôtes macOS nus, car la virtualisation imbriquée et le transfert GPU restent gênants dans les conteneurs sur les hôtes Apple. Si vos agents doivent occasionnellement « piloter » des consoles Web authentifiées, l’hébergement en parallèle d’une session de bureau complète réduit davantage les frictions que le transfert X11 via des sauts supplémentaires. À l’inverse, si votre empreinte OpenClaw est constituée uniquement de trafic API et WebSocket sans interface graphique, l’isolation Docker peut réduire le rayon d’explosion, à condition que la persistance, les jetons et les ports publiés soient intentionnels plutôt qu’accidentels.

Traitez chaque chemin d'installation comme une histoire de cycle de vie : provisionnement, fusion/redémarrage, rotation des jetons, mise à niveau et reprise après sinistre. Capturez des captures d'écran ou des notes structurées pour les différences entre Singapour et l'Est des États-Unis en termes de latence et de peering ; les opérateurs déboguant à 2 heures du matin oublient les conseils abstraits mais se souviennent des chiffres concrets liés aux villes qu'ils reconnaissent.

Enfin, impliquez la sécurité dès le début lorsque l'exposition de la passerelle quitte le bouclage : tout chemin qui élargit la portée de WebSocket doit être associé aux ACL réseau, à l'authentification par proxy inverse et aux secrets scellés. Le débat conteneur/bare metal ne supprime jamais ces obligations ; cela ne change que là où vous les implémentez : à l'intérieur d'un réseau superposé ou sur le pare-feu hôte.

Utilisez la matrice comme un accélérateur de conversation avec les ingénieurs de plateforme et les propriétaires d’applications, et non comme une loi. Les équipes à la recherche d'artefacts CI reproductibles s'ancrent fréquemment sur Docker, tandis que les équipes associant OpenClaw à des utilitaires macOS natifs ou favorisant fréquemment la contiguïté de l'interface graphique.install.sh plus un démon supervisé par launchd. Le coût n’est pas seulement de dollars par mois ; ce sont les heures d'incident où les jetons disparaissent ou lorsqu'une carte de publication de conteneur n'est pas d'accord avec la documentée wss point final. Validez toujours les deux chemins dans une métropole intermédiaire avant de déclarer un défaut de production, car la vitesse antérieure à la version 1.0 modifie toujours le comportement d'un mois à l'autre.

Couches de planification régionale au sommet : placer une passerelle à Hong Kong alors que la plupart des opérateurs de chaînes sont basés à Los Angeles crée une asymétrie : les automatisations fonctionnent toujours, mais les humains ressentent une latence à chaque intervention manuelle. La colocalisation avec le métro interactif dominant est généralement gagnante, le prix étant échangé uniquement après avoir mesuré les allers-retours réels de la CLI et du tableau de bord plutôt que les seuls pings synthétiques.

Là où Docker brille véritablement, ce sont les environnements éphémères : des piles jetables pour reproduire les bugs des clients sans contaminer les maisons de production. Associez ce modèle à des jetons TTL courts afin qu'un conteneur mis au rebut ne devienne jamais un entrepôt secret oublié. Là où le bare metal brille, c'est la stabilité à long terme avec des besoins occasionnels en interface graphique et des outils locaux prévisibles.

Documentez les décisions matricielles dans votre wiki interne avec les propriétaires et les dates ; À l'avenir, vous devriez savoir si Singapour a été choisie pour la proximité en matière de conformité, la proximité des opérateurs ou le peering des fournisseurs, et non parce que quelqu'un a aimé le nom de la ville.

Le squelette ci-dessous est délibérément de type YAML, et non un contrat spécifique à un fournisseur : adaptez les étiquettes, les réseaux et les montages secrets à votre orchestrateur. L'objectif est d'afficher les blocs d'environnement parallèles que vous pouvez différencier lors de l'examen (Docker ou Bare Metal) afin que les équipes remarquent quand OPENCLAW_HOME n'a pas de chemin d'accès hôte ou quand 18789 n'atteint jamais le proxy de périphérie. Mettez en miroir les mêmes variables sur une installation de démon cloud Mac afin de plonger la mise en scène et la production uniquement par métro et secrets, et non par des fautes d'orthographe dans les noms de variables.

service: openclaw-gateway
image: your.registry/openclaw:pin-by-digest
ports:
  - "18789:18789"
environment:
  OPENCLAW_GATEWAY_PORT: "18789"
  OPENCLAW_HOME: /var/lib/openclaw
  GATEWAY_BIND_MODE: lan-or-loopback-review-me
volumes:
  - /srv/openclaw-prod:/var/lib/openclaw
  - /srv/openclaw-logs:/var/log/openclaw
secrets:
  - openclaw_tokens_readonly

Bare-metal cloud Mac counterpart:
  export OPENCLAW_GATEWAY_PORT=18789
  export OPENCLAW_HOME=/usr/local/var/openclaw
  launchctl bootstrap system /Library/LaunchDaemons/org.openclaw.gateway.plist

Après avoir modifié les valeurs du squelette, réexécutez openclaw doctor dans le même contexte d'exécution que votre orchestration utilise, pas seulement sur un ordinateur portable d'ingénieur. les écarts entre les shells des développeurs et les images créées par CI masquent régulièrement les fonctionnalités manquantes jusqu'à la première page d'appel. Pour les URL WebSocket, écrivez trois chaînes explicites dans votre runbook : interne en amont, publique wss URL du client et vérification de l'état curl cible; l'ambiguïté produit des tableaux de bord verts avec des expériences utilisateur rouges.

Lorsque vous exécutez plusieurs passerelles pour des essais bleu-vert, isolez les ports et les foyers exactement comme vous le feriez sur du métal nu : chevauchement OPENCLAW_HOME les arbres corrompent les caches tout aussi rapidement à l’intérieur des conteneurs. Étiquetez les journaux par environnement afin que le personnel d'assistance ne devine jamais quel stderr appartient à la production.

Annotez chaque étape avec les rôles d'astreinte responsables de l'annulation d'une mauvaise carte de publication par rapport à la rotation des jetons : la confusion pendant la vingtième minute d'un incident coûte plus cher que n'importe quel port mal saisi. Répétez le runbook tous les trimestres, en particulier après des mises à niveau majeures de macOS ou de la base d'images, car les lacunes en matière de fonctionnalités réapparaissent subtilement.

Conservez la version des artefacts de restauration épinglée : un résumé de conteneur fonctionnel ou une archive tar de package doit se trouver à côté du plan avancé afin que vous ne recherchiez pas les artefacts pendant que les clients attendent.

Le glamour des conteneurs s'estompe lorsque les incidents remontent à des volumes anonymes ou à des publications de port manquantes ; La simplicité du bare metal s'estompe lorsque les flottes divergent silencieusement sans images pour concilier la dérive. Le modèle durable est une persistance disciplinée, une mise en réseau explicite et un hébergement compatible avec la métropole qui respecte la manière dont les humains et les automatisations touchent réellement la passerelle au quotidien. Pour les équipes qui ont besoin de l'exclusivité Apple Silicon, d'une puissance résiliente et de baux flexibles à Singapour, Tokyo, Séoul, Hong Kong, USA Est et USA Ouest,MESHLAUNCH La location de Mac mini cloud est généralement la meilleure solution opérationnellecar ils conservent macOS natif à côté de votre plan de contrôle pendant que vous choisissez toujours Docker ou install.sh selon vos propres conditions.

Les examinateurs financiers doivent s'opposer aux dépenses inutiles liées à une abstraction erronée : si les journaux montrent des échecs de persistance plutôt qu'une pénurie de processeur, l'achat de machines virtuelles plus grandes ne sera d'aucune utilité : corrigez les montages et publiez d'abord les cartes, puis revoyez le dimensionnement avec des preuves.

Les opérateurs couvrant l'ouest des États-Unis et Tokyo peuvent gérer des passerelles jumelées avec une politique synchronisée mais des secrets distincts ; documenter pourquoi la redondance existe afin que les coupes futures ne suppriment pas le seul nœud qui respectait les attentes en matière de résidence des données.