2026 OpenClaw ゲートウェイ パブリック ネットワーク VPS
18789、WebSocket リバースプロキシと認証層のトラブルシューティング

最初の層はクラウドベンダーのセキュリティグループと境界ACL：マシン内部の監視は正常に行われていますが、公衆回線の入り口からは入れません。通常、受信ルールは 22 と 80 のみを開き、18789 や実際に公開する外部ポートが許可リストに入っていないことが多いです。二つ目の層はホスト側ファイアウォールです。Ubuntu の ufw、CentOS の firewalld、イメージ既定の deny 方針は、セキュリティグループで NIC を開けたあとも背後でパケットを落とします。三つ目の層はリバースプロキシと WebSocketです。Nginx や Caddy が Upgrade と Connection を正しく透過しないと、ブラウザ側ではハンドシェイク失敗や再接続ループに見えますが、Gateway プロセス自体はまだ健全なままです。

4番目の層は、ゲートウェイのバインドと認証: 監視をループバックから LAN またはカスタム アドレスに変更すると、公式のガードレールではトークンまたは同等の認証が必要になります。これが欠落している場合は、「バインドを拒否する」か、「バインドはできるが、コントロール プレーンが RPC 検出を完了できない」ことになります。 ５階は、チャネルと戦略: Telegram、Discord、Webhook のいずれかの側のレート制限、ペアリング ステータス、グループ ポリシー、DM ポリシーにより、「ゲートウェイはオンラインですがビジネス側が認識していない」という現象がログに表示されます。

5 つのレイヤーを分離した後は、エラーが発生するたびに再インストールする必要はありません。次のセクションの表は、ネットワーク入口の問題、コントロール プレーン構成の問題、またはチャネル製品の問題のいずれを解決しているかを判断するために使用されます。

このサイトの記事「OpenClaw のインストールからゲートウェイ接続まで」をすでに読んでいる場合は、この記事を「パブリック ネットワークへの入り口とリバースプロキシに関する特別章」と考えることができます。その記事ではインストールとデーモン プロセスの受け入れについて説明し、この記事では外部ネットワーク パスと WebSocket の詳細について説明します。 2 つの記事を重ねて「全天候型の安定運用とクラウド ノード ソリューション」を読むと、モチベーション、コマンド ライン、ネットワーク層を一度に調整できます。

ループバック バインディングは最小限に公開され、同じマシン上でのみコントロール プレーンを使用するのに適しています。別のラップトップでダッシュボードを開こうとすると、監視を非ループバック アドレスに拡張する必要があります。現時点では、認証はオプションではなく、ガードレールです。 LAN バインディングでは、どのネットワーク カードとネットワーク セグメントが信頼できるかを明確にする必要があります。テールネットまたはゼロトラスト トンネルのシナリオでは、「誰が内部ネットワークとしてカウントされるか」をチームの合意として記述する必要があります。そうしないと、デバッグ中に間違ったレイヤーに繰り返しジャンプしてしまいます。

Gateway を VPS 上に配置しても、スタックの再コンパイルとブラウザ ツールのロードが同じマシン上で行われる場合、競合が増幅されて「ランダムな異常」が発生します。多くの場合、コントロール プレーンと重い負荷を異なるベア メタル インスタンスに分割する方が、JVM スタイルのパラメーターを繰り返し調整するよりも効果的です。並列処理とリース期間を組み合わせる必要がある場合は、同日に公開された記事「Mac mini M4 Buy or Rent TCO」を参照して、予算とマイルストーンを結び付けて検討できます。

次のスケルトンは、WebSocket に関連する主要な命令のみを意図的に保持しています。コアは次のとおりです。proxy_http_version 1.1、UpgradeそしてConnection頭。 TLS がリバースプロキシで終了すると、アップストリームは平文ループバックを使用できます。エンドツーエンド TLS に変更する場合は、アップストリーム プロトコルと証明書検証用に別のリストのセットを作成する必要があります。 Runbook の同じページで 2 つの前提条件を混在させないでください。

map $http_upgrade $connection_upgrade {
  default upgrade;
  '' close;
}
server {
  listen 443 ssl;
  location / {
    proxy_pass http://127.0.0.1:18789;
    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection $connection_upgrade;
    proxy_set_header Host $host;
  }
}

Caddy のルートは自動証明書と短いサイト ファイルですが、WebSocket の透過的な送信の原則は変わりません。これは依然として HTTP/1.1 アップグレード セマンティクスであり、正しいものです。Host透明な伝送。どのリバースプロキシセットを選択する場合でも、同僚の半数が古い IP にアクセスし、同僚の半数が新しいドメイン名にアクセスして、OAuth とコールバック ドメイン名の間に不一致が生じることを避けるために、チーム文書に「リバースプロキシ後の最終 URL」を記述することをお勧めします。

次のシーケンスでは、意図的に「ローカル カール」を一番下に配置しています。パブリック ネットワークの問題は、内部ネットワークの観点から騙されるのを避けるために、まず外部ネットワーク プローブで検証されます。各ステップの出力を作業指示書に貼り付けると、オンコールの引き継ぎがはるかに簡単になります。

01 ～ 04 が緑、05 が赤の場合は、構成のドリフトまたはアップグレード後のデフォルト値の変更が最初に疑われます。 05 が緑、06 が赤の場合は、急いでゲートウェイを再起動せず、まずチャネルを独立したサブシステムとして扱います。

いつでも閉じられる可能性があるラップトップにゲートウェイを結び付けると、TLS、コールバック ドメイン名、トークンの更新が監査できない個人の習慣に結び付けられます。重い負荷とブラウザ ツール チェーンを同じ VPS に結び付けると、「ネットワークは正常に見えます」と「ランダムなプロセスのジッター」が同じブラック ボックスに混在します。比較すると、MESHLAUNCHによるMac Miniクラウドベアメタルレンタル独自の Apple Silicon、日次、週次、月次ベースでの柔軟な注文と複数地域の切り替えを提供し、実稼働コンポーネントとしての OpenClaw コントロール サーフェスの長期運用により適しています。最初に開けてもいいよレンタル料金ページコントロール サーフェスとコンストラクション サーフェスのレベルをそれぞれ 1 つ選択し、ヘルプセンターSSH とネットワークの要件を確認します。動機と背景は組み合わせることができる全天候型クラウドノードソリューションそして医師による取り付けとトラブルシューティング両方の記事を一緒にレビューします。