VPS публичной сети OpenClaw Gateway 2026
18789, устранение неполадок обратного прокси-сервера WebSocket и многоуровневой аутентификации

Группа безопасности и ufw · Обновление обратного прокси-сервера ·gateway.mode · проверка каналов · резидент облака

OpenClaw Gateway on a public VPS with WebSocket reverse proxy
When you move OpenClaw шлюз from a laptop terminal session to a публичный VPS, the most common mistake is assuming that a running process equals a reachable service: the Dashboard can still show disconnected from the internet, or Gateway can show бег while messages never arrive. This article separates symptoms across порт 18789 и группы безопасности облака, межсетевые экраны хоста, такие как ufw, обновления обратного прокси-сервера WebSocket, режимы привязки шлюза и аутентификация, а затем зондирование канала и политика, adds a bind strategy matrix, a minimal reverse proxy skeleton, a six-step triage path, and clarifies how to split control plane duties when you move to MESHLAUNCH облачный Mac без операционной системы, so you can paste the result straight into a team runbook.
01

Как будет выглядеть каждый из пяти уровней ошибок, когда OpenClaw Gateway окажется в публичной сети в 2026 году?

Первый слойГруппы безопасности поставщиков облачных услуг и граничные списки управления доступом: Вы видите, что мониторинг внутри машины идет нормально, но вы не можете войти через вход в общедоступную сеть. Обычно правила для входящего трафика открывают только 22 и 80, а 18789 или обратные внешние порты не прописываются в список разрешенных. Второй слойБрандмауэр хоста: ufw в Ubuntu, firewalld в CentOS и политика удаления по умолчанию для некоторых образов по-прежнему будут блокировать пакет за сетевой картой после того, как группа безопасности его освободит. Третий слойОбратный прокси и WebSocket: Nginx или Caddy, если отсутствует.UpgradeиConnectionПри прозрачной передаче на стороне браузера будет отображаться ошибка установления связи или бесконечное переподключение, но сам процесс шлюза по-прежнему работоспособен.

Четвертый слой – этоПривязка и аутентификация шлюза: Когда вы меняете мониторинг с обратной связи на локальную сеть или собственный адрес, официальное ограждение потребует токен или эквивалентную аутентификацию; если он отсутствует, он «откажется привязываться» или «может привязаться, но плоскость управления не сможет завершить обнаружение RPC». Пятый этаж естьКаналы и стратегии: Ограничение скорости, статус сопряжения, групповая политика и политика DM на любой стороне Telegram, Discord или Webhook приведут к появлению в журналах явления «Шлюз в сети, но бизнес-сторона не знает».

После разделения пяти слоев вам не придется переустанавливать его при каждой ошибке; таблица в следующем разделе используется, чтобы определить, решаете ли вы проблему входа в сеть, проблему конфигурации плоскости управления или проблему продукта канала.

01

Группа безопасности:Используйте наименьший зонд общедоступного IP-адреса, чтобы убедиться, что порт доступен, а затем вернитесь в интрасеть для сравнения.

02

Брандмауэр хоста:Перепроверяйте правила группы безопасности, чтобы избежать «оба уровня думают, что другой отпустит это».

03

Контргенерация:Убедитесь, что точка завершения TLS соответствует восходящему протоколу и что заголовок WebSocket пересылается без изменений.

04

Привязка и аутентификация:Проверятьgateway.mode,gateway.bindиgateway.authтот же набор предположений.

05

ряд:Пучокchannels status --probeСовмещено с отметкой времени консоли провайдера.

Если вы уже читали статью «OpenClaw от установки до подключения к шлюзу» на сайте, вы можете рассматривать эту статью как «Специальную главу о входе в общедоступную сеть и обратной генерации»: в этой статье рассказывается об установке и принятии процесса демона, а в этой статье рассказывается о внешних сетевых путях и деталях WebSocket. После наложения двух статей и прочтения «Всепогодная стабильная работа и решение для облачных узлов» вы сможете одновременно согласовать уровень мотивации, командной строки и сети.

02

Как сравнить аутентификацию и раскрытие информации при мониторинге и привязке обратной связи, локальной сети и хвостовой сети

Обвязка шлейфа минимально открыта и подходит для использования плоскости управления только на одной машине; как только вы захотите открыть панель мониторинга на другом ноутбуке, вам придется расширить мониторинг до адреса без обратной связи. At this time, authentication is not an option but a guardrail. Привязка локальной сети должна прояснить, какие сетевые карты и сегменты сети заслуживают доверия; в сценариях хвостовой сети или туннеля с нулевым доверием «кто считается внутренней сетью» должно быть записано как консенсус команды, иначе во время отладки он будет неоднократно переходить на неправильный уровень.

РазмерыТолько петлевая привязкаПривязка без цикла + обратный прокси
открытая поверхностьМинимум: внешняя сеть по умолчанию недоступна.Требуется группа безопасности, брандмауэр, TLS и управление комбинацией токенов.
Опыт информационной панелиТребуется туннель SSH или одноранговый доступ.Доступные доменные имена и сертификаты, подходящие для команд, которые могут совместно использовать плоскости управления.
Порядок устранения неполадокОтдавайте приоритет шлюзу и врачуДавайте сначала посмотрим на порты и обратный прокси, затем посмотрим на шлюз и доктор.
Общие рискиОшибочный адрес только для обратной связи с доступным адресом общедоступной сетиОбновление для защиты от утечек или без шлейфа без токена
Совместимость с VPSПодходит для временного тестированияПодходит для использования шлюза в качестве долгосрочного компонента плоскости управления.

Первый принцип устранения неполадок в общедоступной сети: сначала докажите, что пакет может прийти, затем докажите, что рукопожатие может пройти, и, наконец, докажите, что бизнес-логика находится в сети.

Когда вы размещаете Gateway на VPS, но по-прежнему выполняете перекомпиляцию стека и загружаете инструменты браузера на том же компьютере, конфликты перерастают в «случайные нездоровые»; разделение плоскости управления и тяжелой нагрузки на разные экземпляры «голого железа» часто более эффективно, чем повторная настройка параметров в стиле JVM. Если вам необходимо совместить параллелизм и период аренды, вы можете обратиться к статье «Mac mini M4 Купить или арендовать совокупную стоимость владения», опубликованной в тот же день, чтобы связать бюджет и основные этапы для анализа.

03

Прозрачный скелет передачи WebSocket Upgrade, когда Nginx или Caddy используются для реверса OpenClaw Gateway

Следующий скелет намеренно сохраняет только ключевые инструкции, относящиеся к WebSocket: ядроproxy_http_version 1.1,UpgradeиConnectionголова. Когда TLS завершается в обратном прокси-сервере, восходящий поток может использовать петлю открытого текста; если вы перейдете на сквозной TLS, вам потребуется написать еще один набор списков для восходящего протокола и проверки сертификата. Не смешивайте два набора предположений на одной странице руководства.

Скелет фрагмента Nginx
map $http_upgrade $connection_upgrade {
  default upgrade;
  '' close;
}
server {
  listen 443 ssl;
  location / {
    proxy_pass http://127.0.0.1:18789;
    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection $connection_upgrade;
    proxy_set_header Host $host;
  }
}

намекать:Если вы реализовали ограничения IP или геоблокировку на уровне обратного прокси-сервера, не забудьте внести в белый список запись обратного вызова провайдера канала, иначе будут ложные срабатывания, такие как «проверка работоспособности всегда зеленая, а настоящие сообщения никогда не смогут прийти».

Маршрут Caddy — автоматические сертификаты и более короткие файлы сайта, но принцип прозрачной передачи WebSocket остается неизменным: это по-прежнему семантика обновления HTTP/1.1 и правильнаяHostПрозрачная передача. Независимо от того, какой набор обратного прокси-сервера вы выберете, рекомендуется записать «конечный URL-адрес после обратного прокси-сервера» в документ группы, чтобы половина коллег не получила доступ к старому IP-адресу, а половина коллег не получила доступ к новому доменному имени, что приведет к несоответствию между OAuth и именем домена обратного вызова.

04

Шесть шагов для конвергенции «внешняя сеть не подключена» от входа до канального уровня

В следующей последовательности намеренно помещено «локальное скручивание» внизу: проблемы общедоступной сети сначала проверяются с помощью внешних сетевых зондов, чтобы избежать обмана с точки зрения внутренней сети. Вставьте результаты каждого шага в рабочее задание, и передача вызова по вызову станет намного проще.

01

Заморозить целевой URL:Запишите имя домена и порт, к которому в конечном итоге получает доступ Dashboard, и был ли он изменен во избежание смешанного тестирования.

02

Из порта внешнего сетевого зонда:Убедитесь, что 443 или 18789 доступны по отдельному сетевому пути, соответствующему снимку экрана группы безопасности.

03

Проверьте брандмауэр хоста:Перечислите правила ufw или firewalld, чтобы убедиться, что никакие локальные запреты не переопределяют глобальный проход.

04

Проверьте WebSocket:Используйте сетевую панель браузера или Curl, чтобы вручную обновить запрос и проверить, равен ли он 101.

05

Вернемся к шлюзу:осуществлятьopenclaw gateway statusиopenclaw doctor, убедитесь, что предположения о привязке и токене не маскируются уровнем обратного прокси.

06

Канал проверки:осуществлятьopenclaw channels status --probe, запишите ограничение тока на стороне провайдера и статус сопряжения вместе.

Если от 01 до 04 имеют зеленый цвет, а 05 — красный, это означает первое подозрение на отклонение конфигурации или изменение значения по умолчанию после обновления; когда 05 зеленый, а 06 красный, не спешите перезапускать Шлюз, сначала относитесь к каналу как к независимой подсистеме.

05

Три критерия, которые можно включить в обзор изменений и постоянное разделение труда в облаке

А

Соответствие портов и протоколов:Если вход в общедоступную сеть использует 443 для завершения TLS, все закладки, обратные вызовы OAuth и URL-адреса веб-перехватчиков должны быть перезаписаны в одно и то же пространство доменных имен одновременно, иначе они будут колебаться между «локально доступными» и «глобально недоступными».

Б

Обнаружение слоев:Разделите «порт доступен», «HTTP 200», «WebSocket 101», «Шлюз RPC ок» и «канал готов» на пять уровней сигналов, причем запрещается использовать один уровень для замены вывода другого уровня.

С

Плоскость управления изолирована от плоскости вычислительной мощности:Если на той же машине также работает IDE с высокой нагрузкой или параллельный симулятор, вам следует рассмотреть возможность перемещения шлюза на независимый «голый» узел, чтобы уменьшить конфликты, а не бесконечно увеличивать подкачку.

Уведомление:Подключение шлюза напрямую к общедоступной сети без аутентификации представляет собой режим высокого риска аварий на производстве; обязательно настройте аутентификацию уровня управления по токену или эквиваленту в соответствии с официальными правилами и запишите изменения в журнал аудита.

Привязка шлюза к ноутбуку, который может быть закрыт в любой момент, свяжет TLS, доменные имена обратного вызова и обновление токенов с непроверяемыми личными привычками; привязка больших нагрузок и цепочек инструментов браузера к одному и тому же VPS приведет к тому, что «сеть кажется в порядке» и «случайные колебания процесса» попадут в один и тот же черный ящик. Для сравнения:Аренда Mac Mini Cloud Bare Metal от MESHLAUNCHОн обеспечивает эксклюзивный Apple Silicon, гибкий заказ и переключение между регионами ежедневно, еженедельно и ежемесячно и больше подходит для долгосрочной эксплуатации поверхности управления OpenClaw в качестве производственного компонента. Вы можете открыть его первымСтраница цен на арендуВыберите по одному уровню для поверхности управления и вспомогательной поверхности, а затемСправочный центрПроверьте SSH и сетевые требования; мотивацию и контекст можно комбинироватьВсепогодное решение для облачных узловиУстановка и устранение неполадок с врачомОбе статьи будут рассмотрены вместе.

Вопросы

Да, типичный конфликт — это занятие порта и два набора корневых каталогов конфигурации. Рекомендуется хранить только один набор плоскостей управления на одном хосте или четко указать в документации изоляцию портов и каталогов данных. Увидимся у входа в порядокСтраница цен на аренду.

Сначала согласуйте локальную конфигурацию и конфигурацию демона в соответствии с официальными инструкциями по миграции, а затем перезапустите службу; более полную цепочку команд см.Установка и устранение неполадок с врачом.

Пожалуйста, найдитеСправочный центрИнструкции по сети и SSH, проверка порта и группы безопасности записываются на одной странице модуля Runbook.