openclaw devices approve 配对闸门，以及用 openclaw backup 在新加坡、东京、首尔、香港、美东、美西之间换区迁移时尽量不重接渠道的全流程。
远程 Node 与跨区迁移最常见的五条误判签名
远程 Node 工作同时要求三层证据：传输可达、Gateway 进程健康、设备配对状态。运维若把三层压成一层，就会在 Tailscale 已 ping 通时仍反复轮换密钥，而真正阻塞点仍是 Master 上未批准的 Node 指纹。下面五条签名把症状映射到「下一刀最小命令」，避免把所有 WebSocket 失败都当成防火墙传说。建议你在变更单上先勾选签名编号，再决定是走 devices 子命令还是走 backup 迁移窗口，而不是同时改模型路由与发布通道。
把 Tailscale ping 成功当成 OpenClaw 已配对：MagicDNS 只证明 mesh 路径；在 openclaw devices list 出现已批准 Node 之前，node run 仍可能以 1008 pairing required 关闭。
把公网 18789 暴露当捷径：在云安全组直接放开 Gateway 端口、却没有 Serve 或隧道纪律，会招来扫描并掩盖失败究竟在 TLS、Upgrade 还是配对策略。
只复制配置 JSON 就能保住渠道：token、配对队列与会话缓存都在状态目录树；局部拷贝会在迁移后 UI 仍绿、消息却静默丢弃。
换区后仍用旧 WSS 主机名：从东京迁到新加坡若不核对 gateway.remote 与设备 profile，Node 会继续指向失效端点。
跳过 backup 校验：无 checksum 的 tar 包在 doctor 前看似完好，首条真实消息就会在 channels probe 上翻车。
给签名贴标签后再动发布通道或模型提供商。配对问题应留在 Master 云 Mac 上用 devices 命令闭环；迁移问题应放在 gateway 已停止的维护窗口里，用 probe 重放验收。若云 Mac 本身守护仍不稳，请先对照 无头 SSH 首小时验收清单，在抖动 Gateway 上叠加 Node 配对只会堆出更多 pending 设备行。
云 Mac 单机 Gateway 与「Gateway + 远程 Node」决策矩阵
并非每个团队都需要远程 Node。若所有工具都在托管 Gateway 的同一台裸金属云 Mac 上执行，配对只是额外复杂度。分裂拓扑的价值在于：控制面在某一城 7×24 常驻，而重浏览器任务在另一台带人工在场的 Mac 上跑，或合规要求工具宿主与控制面隔离。下表刻意粗粒度，方便平台与业务负责人在一次会议内对齐停机面与审计边界。
| 维度 | 仅云 Mac Gateway | 云 Mac Gateway + 远程 Node |
|---|---|---|
| 运维复杂度 | 最低：单守护、单状态目录 | 更高：devices 审批、双机 PATH 上下文 |
| 工具延迟 | 本机回环，闭环最短 | Tailscale 或隧道增加 RTT |
| 安全面 | 主要管渠道配对 | 设备配对与渠道配对双层 |
| 迁移爆炸半径 | 单份 backup 包 | 切忌把 Node 状态目录并入 Gateway 家目录 |
| 2026 典型场景 | 无人值守 Agent、六区日租冒烟 | 重工具与控制面分机、合规分权 |
1008 不是 Tailscale 的 bug，而是 Gateway 拒绝从未 devices approve 的身份。
选定分裂拓扑后，请在文档里写清：哪台主机接渠道 webhook，哪台仅注册为 Node。实验期在同一台机器混角色可以，生产应让 webhook 入口留在 Master，Node 主机只做工具执行。若要在同一云 Mac 上并排 staging 与 production 监听，请先读 Gateway 热重载与 remote/多实例，避免第二个监听器与 Serve 转发规则互相踩踏。
经济账也要诚实：新加坡 Master + 加州桌面 Node 在合规叙事上说得通，但应用 RTT 实测衡量浏览器步骤是否超时。若工具经常超时，把 Node 放到同城的第二台云 Mac 往往比一周配对火并更便宜。在宣布分裂架构永久化之前，先记录三组 probe 时间戳作为基线。
Tailscale Serve 推荐拓扑：loopback Gateway、MagicDNS WSS 与 devices 闸门
2026 年社区与官方文档收敛的推荐形态是：Master 云 Mac 上 Gateway 绑定 loopback，由 Tailscale Serve 向 tailnet 发布 HTTPS/WSS，Node 通过 MagicDNS 名称连接，而不是把 18789 裸挂在公网 IP。Master 侧先确认本机 gateway status 与回环 curl，再启用 Serve 转发到 127.0.0.1:18789，从 Node 主机验证 Upgrade 路径，最后在环境或 profile 里写入 remote WSS URL 再启动 node run。
tailscale serve --bg --https=443 http://127.0.0.1:18789 openclaw gateway status openclaw devices list openclaw node run --remote wss://cloud-mac.tailnet-name.ts.net openclaw devices approve <device-id> openclaw backup create --verify openclaw doctor openclaw channels status --probe
Serve 已通仍报 1008 时，在 Master 列出 pending 设备并批准错误信息中的指纹。社区在 CLI 缓存旧 profile 时可用显式 --node-id 兜底；切勿批准 abandoned 实验留下的未知设备行，否则等于向整个 tailnet 放宽工具执行面。迁移时在目标云 Mac 恢复完整状态树后先 doctor 再开渠道；维护窗口应与 升级与回滚 Runbook 对齐，避免在通道升级日叠加配对重置。
提示：approve 前后各存档一份 devices list 输出，审计时能回答「谁授权了哪台 Node」。
六步 Runbook：从 Tailscale 引导到迁移后 channels 冒烟
在工单冻结拓扑：记录 Master 城区、Node 角色、tailnet 名称、渠道是否仅挂在 Master。
证明 Master 回环 Gateway：发布 Serve 前先跑 gateway status 与本机 18789 curl。
启用 Serve 并验证 WSS：从 Node 主机用最小客户端或 openclaw remote 探测 MagicDNS Upgrade。
配对 Node 身份：触发 node run，若预期 1008 则在 Master devices approve，必要时清本地旧 node-id 重试。
换区迁移窗口：gateway stop → backup create --verify → 安全拷贝 → 目标机 restore → doctor 绿灯。
Master 渠道冒烟：channels status 与 probe，发一条真实入站消息对照日志；若静默先看 频道已连接但不回复 再动配对。
三条值班硬阈值与分裂拓扑下的云 Mac 选型
配对队列上限：单次变更窗口若 pending 设备行累计超过约八条，应暂停新的 node run，清理废弃身份，仅批准工单列出的主机。
迁移磁盘预算：带校验的 backup 加恢复后状态，源与目标建议各预留约 1.5 倍现网状态目录的空闲空间；磁盘低于约一成时禁止叠加浏览器重任务。
恢复后探测节奏：restore 后十分钟内至少跑三次 channels probe 再宣布成功；新公网 IP 的 DNS 漂移可伪装成配对失败。
注意：上述数值为值班沟通口径，不构成云厂商 SLA 承诺。
把 Node 放在办公室笔记本上会重新引入睡眠、漫游 Wi-Fi 与误升级；纯 Linux VPS 便宜却与 macOS 原生工具链脱节。以无头裸金属云 Mac 为 Master、可选第二台同城云 Mac 为 Node，能在 Apple 工具链邻近、loopback + Serve、可预测迁移窗口之间取得平衡。MESHLAUNCH 的 Mac Mini 云端租赁通常是更优解：适合要 7×24 Gateway、可审计设备配对、并在六区换租时不赌消费级硬件在线率的团队。用目标城区日租先完整跑通六步与一次重启，再锁月租；安全评审应把 Tailscale ACL 与 OpenClaw devices 批准并列存档，checksum 写在 backup 旁。容量与下单见 租赁价格 与 帮助中心。
在 Master 云 Mac 执行 openclaw devices list 并批准 pending Node。参见 无头 SSH 首小时清单；下单见 价格页。
不够。请用带 verify 的 openclaw backup 并包含状态目录。恢复后对照 升级回滚 Runbook；帮助见 帮助中心。
先跑 channels probe，再读 频道已连接但不回复 与 Gateway remote 接线，最后再动 devices 重配对。