当前位置：首页 » AI智能体

OpenClaw部署全攻略：从本地到云端，解锁HTTPS安全访问

2小时前 AI智能体 12 0

作为一名产品经理，我在最近的技术栈探索中接触到OpenClaw这个开源AI助手平台。

在初期体验后，我发现一个共同的痛点：许多用户能够快速在本地跑起来，但当需要从个人体验升级到生产环境部署时，往往在HTTPS安全访问配置这一环节受阻。

这篇文章将系统梳理我在实践中总结的OpenClaw部署方案体系，以及实现安全访问的技术路径。

一、部署方式的架构选择

OpenClaw提供了从个人学习到企业生产的多元部署选项。选择哪种方案，关键在于匹配你的技术门槛、部署速度、定制深度、运维成本这四个维度的实际需求。

1. 官方安装器部署

定位：个人用户快速上手的首选方案

适用场景：

初期功能验证和学习探索
本地开发环境搭建
Windows/macOS/Linux用户的跨平台一键启动

核心优势：

环境依赖自动检测与处理（Node.js 22+、Git等）
操作系统智能识别（支持macOS、Linux、WSL2）
自动处理Linux下的npm权限问题
一条命令完成全流程初始化

安装步骤：

# macOS/Linux/WSL2
curl -fsSL https://openclaw.ai/install.sh | bash

# Windows PowerShell
iwr -useb https://openclaw.ai/install.ps1 | iex

# 中国用户（使用国内镜像加速）
curl -fsSL https://open-claw.org.cn/install-cn.sh | bash

技术细节说明：

安装器自动运行健康检查命令 openclaw doctor --non-interactive
环境变量 SHARP_IGNORE_GLOBAL_LIBVIPS=1 避免原生模块编译问题
检测到既有源码时会提示升级或迁移选项

2. 源码部署

定位：开发者和深度定制的最优路径

适用场景：

贡献者进行核心功能开发
特定业务逻辑的定制化需求
需要深入理解系统架构
集成特定的外部模块或插件

部署步骤：

# 第一步：克隆仓库（使用Gitee镜像以获得更快的下载速度）
git clone https://gitee.com/OpenClaw-CN/openclaw-cn.git
cd openclaw-cn

# 第二步：配置pnpm镜像源（这是关键一步，直接影响安装速度和稳定性）
pnpm config set registry https://registry.npmmirror.com/

# 第三步：安装依赖并构建
pnpm install
pnpm ui:build    # 构建前端界面
pnpm build       # 构建核心服务

# 第四步：初始化系统配置
pnpm openclaw onboard --install-daemon

# 第五步：启动服务
pnpm openclaw gateway     # 启动网关服务
pnpm openclaw dashboard   # 打开管理界面

关键要求与注意事项：

强制要求 Node.js >= 22.0.0，版本过低会导致构建失败
强烈推荐使用pnpm而非npm，pnpm的依赖树处理更加稳定可靠
首次构建耗时较长（通常15-30分钟），取决于网络状况和硬件配置
国内用户镜像源配置可显著加快依赖下载速度

3. Docker容器化部署

定位：生产环境和运维管理的标准方案

适用场景：

云原生架构和Kubernetes编排
多服务容器化协同
需要快速扩展和灾备迁移
环境隔离和版本一致性要求高

快速启动（单容器）：

docker run -d --name openclaw \
  -p 18789:18789 \
  -v openclaw-data:/root/.openclaw \
  -e OPENCLAW_GATEWAY_TOKEN=your-secure-token \
  --restart unless-stopped \
  ghcr.io/1186258278/openclaw-zh:latest

Docker Compose配置（推荐用于多服务编排）：

version: '3.8'
services:
  openclaw:
    image: ghcr.io/1186258278/openclaw-zh:latest
    container_name: openclaw
    ports:
      - "18789:18789"
    volumes:
      - openclaw-data:/root/.openclaw
    environment:
      - OPENCLAW_GATEWAY_TOKEN=your-secure-token
      - TZ=Asia/Shanghai
    restart: unless-stopped

volumes:
  openclaw-data:

核心价值：环境隔离避免依赖冲突、一致性部署、便捷备份迁移、精细资源管控

4. 云服务器一键部署

定位：最低学习成本的快速上线方案

主流服务提供商的现成方案：

阿里云轻量应用服务器：OpenClaw专属镜像，预置Node.js 22和完整依赖环境
腾讯云Lighthouse：开箱即用的一键部署脚本
Vultr：提供详细的Docker Compose配置文档

阿里云部署流程：

选择"OpenClaw"镜像（预装所有依赖）
配置服务器规格（推荐最低2vCPU+2GiB内存）
一键放通18789端口的出入方向
绑定阿里云百炼API-Key
通过 http://服务器IP:18789 访问

部署方案对比矩阵

维度	安装器部署	源码部署	Docker部署	云服务器部署
技术门槛	低	高	中	最低
部署速度	最快（<5分钟）	较慢（15-30分钟）	快（<2分钟）	最快（1分钟）
定制能力	中	最高	中	低
运维成本	中	高	低	最低
扩展性	中	最高	最高	中
最佳适用场景	个人体验	开发调试	生产环境	快速上线

二、HTTPS安全访问：从技术原理到方案选型

技术原理剖析

核心约束：OpenClaw的Web控制界面基于Web Crypto API实现设备身份验证，该API要求浏览器必须在安全上下文（Secure Context）中运行。安全上下文仅在以下两种条件成立：

通过 localhost 或 127.0.0.1 访问
通过HTTPS协议访问

因此，直接通过 http://公网IP:18789 访问时会出现错误：disconnected (1008): control ui requires HTTPS or localhost (secure context)

方案一：Nginx反向代理 + Let's Encrypt

定位：最成熟、最广泛应用的生产级方案

适用场景：域名已完成DNS解析到服务器的正式部署环境

第一步：安装Nginx和Certbot

# Ubuntu/Debian系统
sudo apt update
sudo apt install -y nginx certbot python3-certbot-nginx

# CentOS/RHEL系统
sudo yum install -y epel-release
sudo yum install -y nginx certbot python3-certbot-nginx

# 启动并启用开机自启
sudo systemctl enable nginx
sudo systemctl start nginx

第二步：配置Nginx反向代理

创建配置文件 /etc/nginx/sites-available/openclaw：

server {
    listen 80;
    server_name your-domain.com;
    # HTTP请求强制跳转到HTTPS
    return 301 https://$server_name$request_uri;
}

server {
    listen 443 ssl http2;
    server_name your-domain.com;
    
    # SSL证书配置（后续由Certbot自动填充）
    ssl_certificate /etc/letsencrypt/live/your-domain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/your-domain.com/privkey.pem;
    
    # SSL协议与加密套件配置
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512;
    ssl_prefer_server_ciphers off;
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 10m;
    
    # 安全响应头
    add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;
    add_header X-Frame-Options DENY;
    add_header X-Content-Type-Options nosniff;
    
    # WebSocket协议升级映射（关键配置）
    map $http_upgrade $connection_upgrade {
        default upgrade;
        '' close;
    }
    
    location / {
        proxy_pass http://127.0.0.1:18789;
        proxy_http_version 1.1;
        
        # WebSocket连接相关头（必须配置）
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection $connection_upgrade;
        
        # 转发客户端真实信息
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header X-Forwarded-Host $host;
        proxy_set_header X-Forwarded-Port $server_port;
        
        # 超时配置（支持长连接）
        proxy_read_timeout 86400s;
        proxy_send_timeout 86400s;
        proxy_connect_timeout 75s;
        
        # 缓冲配置（实时交互场景）
        proxy_buffering off;
        proxy_buffer_size 4k;
        proxy_buffers 8 4k;
    }
}

第三步：启用配置并申请证书

# 创建软链接启用站点
sudo ln -s /etc/nginx/sites-available/openclaw /etc/nginx/sites-enabled/

# 验证Nginx配置语法
sudo nginx -t

# 重新加载配置
sudo systemctl reload nginx

# 申请Let's Encrypt证书（Certbot会自动修改Nginx配置并配置自动续期）
sudo certbot --nginx -d your-domain.com

第四步：配置OpenClaw信任反向代理

编辑 ~/.openclaw/openclaw.json，添加或修改以下配置：

{
  gateway: {
    bind: "loopback",
    port: 18789,
    
    // 配置Nginx反向代理的IP地址
    trustedProxies: ["127.0.0.1", "::1"],
    
    // 启用Token认证
    auth: {
      mode: "token",
      token: "your-secure-token-here"
    },
    
    // 控制界面允许的跨域源
    controlUi: {
      allowedOrigins: ["https://your-domain.com"]
    }
  }
}

第五步：重启OpenClaw网关

# npm/pnpm安装环境
openclaw gateway restart

# Docker环境
docker restart openclaw

验证：打开浏览器访问 https://your-domain.com，输入配置的token即可成功登录

方案二：Caddy反向代理

定位：配置复杂度最低的HTTPS方案

特点：自动申请和续期Let's Encrypt证书，无需手动干预

安装Caddy：

# Ubuntu/Debian系统
sudo apt install -y debian-keyring debian-archive-keyring apt-transport-https curl

curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' | \
  sudo gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg

curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' | \
  sudo tee /etc/apt/sources.list.d/caddy-stable.list

sudo apt update
sudo apt install caddy

Caddyfile配置（编辑 /etc/caddy/Caddyfile）：

your-domain.com {
    reverse_proxy localhost:18789
}

Caddy的自动化处理：

自动从Let's Encrypt申请SSL证书
自动配置HTTPS
处理HTTP到HTTPS的重定向
正确配置WebSocket连接参数

重启Caddy：

sudo systemctl restart caddy

后续步骤与方案一相同：配置OpenClaw的trustedProxies和Token认证

方案三：OpenClaw内置TLS

定位：无需额外反向代理的直连方案

适用场景：小规模部署或开发测试环境

使用自签名证书（开发/测试）：

{
  gateway: {
    bind: "lan",
    port: 18789,
    tls: {
      enabled: true,
      autoGenerate: true  // 自动生成自签名证书
    },
    auth: {
      mode: "token",
      token: "your-secure-token-here"
    }
  }
}

使用正式CA证书：

{
  gateway: {
    bind: "lan",
    port: 18789,
    tls: {
      enabled: true,
      certPath: "/path/to/fullchain.pem",
      keyPath: "/path/to/privkey.pem"
    },
    auth: {
      mode: "token",
      token: "your-secure-token-here"
    }
  }
}

⚠️ 重要说明：

自签名证书会导致浏览器显示安全警告，需要手动信任
生产环境强烈建议使用Let's Encrypt等正式CA签发的证书

方案四：Tailscale Serve（远程安全访问）

定位：最便捷的跨网络访问方案

适用场景：需要从远程网络访问，但不想暴露端口到公网

第一步：安装并登录Tailscale

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up

第二步：配置OpenClaw

{
  gateway: {
    bind: "loopback",
    tailscale: {
      mode: "serve"  // 使用"funnel"可开放到公网
    },
    auth: {
      allowTailscale: true  // 允许Tailscale身份认证
    }
  }
}

第三步：通过MagicDNS访问

访问地址：https://..ts.net/

核心优势：

自动HTTPS（使用Tailscale证书）
内置身份认证（基于Tailscale账户）
无需暴露端口到公网
自动跨NAT穿透

方案五：内网Token认证（局域网场景）

定位：仅限内网使用的最简化方案

适用场景：完全受信的局域网或内网环境

配置OpenClaw：

{
  gateway: {
    bind: "lan",
    port: 18789,
    controlUi: {
      // 在HTTP环境下允许Token认证（仅内网使用）
      allowInsecureAuth: true
    },
    auth: {
      mode: "token",
      token: "your-token-here"
    }
  }
}

访问方式：通过 http://内网IP:18789 访问，在登录界面输入token

⚠️ 安全警告：

此方案仅适用于完全受信的内网环境
Token明文传输存在中间人攻击风险
严禁在任何公网环境使用此方案

三、高级安全配置

1. 可信代理认证（企业级单点登录）

场景应用：企业内网部署，集成现有SSO系统（如Okta、Azure AD等）

原理说明：将认证完全委托给反向代理（如Pomerium、OAuth2-Proxy），OpenClaw通过验证代理转发的认证头完成身份确认

配置OpenClaw：

{
  gateway: {
    bind: "lan",
    // 配置信任的代理服务器IP
    trustedProxies: ["10.0.0.1", "172.17.0.1"],
    auth: {
      mode: "trusted-proxy",
      trustedProxy: {
        // 包含已认证用户身份的请求头
        userHeader: "x-forwarded-user",
        // 必须存在的验证头（由代理添加）
        requiredHeaders: ["x-forwarded-proto", "x-forwarded-host"],
        // 限制为特定用户列表（可选）
        allowUsers: ["nick@example.com", "admin@company.org"]
      }
    }
  }
}

Nginx + OAuth2-Proxy配置示例：

location / {
    auth_request /oauth2/auth;
    auth_request_set $user $upstream_http_x_auth_request_email;
    
    proxy_pass http://openclaw:18789;
    proxy_set_header X-Auth-Request-Email $user;
    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
}

2. 防火墙与安全组配置

系统防火墙（UFW）配置：

# 设置默认规则：拒绝所有入站流量
sudo ufw default deny incoming

# 允许修改后的SSH端口（防止被锁定）
sudo ufw allow 20222/tcp

# 允许HTTP和HTTPS流量
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

# 启用防火墙
sudo ufw enable

# 验证规则
sudo ufw status verbose

云服务器安全组配置（以阿里云为例）：

入站规则：

协议：TCP，端口80（HTTP）- 源地址0.0.0.0/0
协议：TCP，端口443（HTTPS）- 源地址0.0.0.0/0
协议：TCP，端口20222（修改后的SSH）- 源地址特定IP（推荐）
拒绝所有其他流量，包括OpenClaw原生端口18789

出站规则：默认允许所有（或按需限制至特定服务）

3. 主动防御：Fail2Ban配置

用途：自动检测并阻止异常访问行为

安装Fail2Ban：

sudo apt install -y fail2ban

配置本地规则（编辑 /etc/fail2ban/jail.local）：

[sshd]
enabled = true
port = 20222
maxretry = 3
bantime = 86400
findtime = 600

[nginx-http-auth]
enabled = true
maxretry = 3
bantime = 3600
logpath = /var/log/nginx/error.log

启动Fail2Ban：

sudo systemctl enable fail2ban
sudo systemctl start fail2ban

# 查看规则状态
sudo fail2ban-client status

四、常见问题排查

问题1：WebSocket连接频繁断开

症状：控制界面无法实时交互，连接状态不稳定

根本原因：反向代理未正确配置WebSocket协议升级

解决方案：在Nginx配置中确保以下关键头已配置：

proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";

问题2：SSL证书自动续期失败

症状：证书过期后无法通过HTTPS访问

根本原因：Certbot的定时续期任务异常

解决方案：

# 手动进行续期测试
sudo certbot renew --dry-run

# 查看续期任务状态
sudo systemctl status certbot.timer

# 查看续期日志
sudo journalctl -u certbot.service

问题3：代理头验证失败

症状：报错"Proxy headers detected from untrusted address"

根本原因：OpenClaw未识别反向代理的IP地址

解决方案：在openclaw.json中配置trustedProxies：

"trustedProxies": ["127.0.0.1", "::1"]

问题4：跨域访问被拒绝

症状：浏览器控制台显示CORS错误

根本原因：未配置允许的源地址

解决方案：在openclaw.json中配置：

"controlUi": {
  "allowedOrigins": ["https://your-domain.com"]
}

五、产品经理视角的总结

从我这段时间的实践探索来看，OpenClaw部署方案的多样性反映了其设计理念的成熟性——不同角色的用户有不同的需求优先级。

方案选择的决策框架：

快速体验阶段：官方安装器，在本地localhost环境验证核心能力
个人学习阶段：源码部署，深度理解系统设计和架构思想
生产部署阶段：Docker + Nginx/Caddy + Let's Encrypt，这个组合是技术稳定性和运维效率的最优平衡点
团队协作阶段：云服务器一键部署，降低初期配置门槛
跨地域访问阶段：Tailscale Serve，在不暴露基础设施的前提下实现安全远程访问

HTTPS配置的核心要点（重要程度排序）：

必须使用HTTPS：这不是选项，而是公网部署的底线要求，保障数据传输安全是首要职责
正确配置WebSocket：任何通信层面的配置遗漏都会导致用户体验的实质性下降
配置信任代理：trustedProxies配置遗漏会导致安全认证失效
证书自动续期：Let's Encrypt证书90天有效期，务必配置自动续期任务
分层安全防护：防火墙、安全组、Fail2Ban形成的纵深防御体系

实践中的经验教训：

开源AI助手平台的安全性和可靠性往往直接影响用户的信任度。OpenClaw在HTTPS和身份认证方面的设计规范，恰恰说明了其对安全的重视程度。宁可初期配置过度也不可疏忽安全细节——这应该成为任何生产环境部署的指导原则。

在这个数据价值日益重要的时代，正确的部署架构和安全配置往往比功能本身更能决定系统的最终价值。希望这份经验总结能够帮助你在OpenClaw的部署实践中少走弯路。

声明：本站原创文章文字版权归本站所有，转载务必注明作者和出处；本站转载文章仅仅代表原作者观点，不代表本站立场，图文版权归原作者所有。如有侵权，请联系我们删除。

未经允许不得转载：OpenClaw部署全攻略：从本地到云端，解锁HTTPS安全访问

请登录后发表评论

OpenClaw部署全攻略：从本地到云端，解锁HTTPS安全访问

一、部署方式的架构选择

1. 官方安装器部署

2. 源码部署

3. Docker容器化部署

4. 云服务器一键部署

部署方案对比矩阵

二、HTTPS安全访问：从技术原理到方案选型

技术原理剖析

方案一：Nginx反向代理 + Let's Encrypt

方案二：Caddy反向代理

方案三：OpenClaw内置TLS

方案四：Tailscale Serve（远程安全访问）

方案五：内网Token认证（局域网场景）

三、高级安全配置

1. 可信代理认证（企业级单点登录）

2. 防火墙与安全组配置

3. 主动防御：Fail2Ban配置

四、常见问题排查

问题1：WebSocket连接频繁断开

问题2：SSL证书自动续期失败

问题3：代理头验证失败

问题4：跨域访问被拒绝

五、产品经理视角的总结

文章目录

关注「苏米客」公众号