ClawCN - OpenClaw 中文版

主题

远程访问(SSH、隧道和 tailnet) ​

本仓库支持"通过 SSH 远程访问",方法是在专用主机(桌面/服务器)上保持单个网关(主网关)运行,并将客户端连接到它。

  • 对于操作员(你/macOS 应用):SSH 隧道是通用后备方案。
  • 对于节点(iOS/Android 和未来设备):连接到网关 WebSocket(根据需要使用局域网/tailnet 或 SSH 隧道)。

核心思想 ​

  • 网关 WebSocket 绑定到配置端口上的回环地址(默认为 18789)。
  • 对于远程使用,通过 SSH 转发该回环端口(或使用 tailnet/VPN 减少隧道需求)。

常见 VPN/tailnet 设置(代理所在位置) ​

将网关主机视为"代理所在位置"。它拥有会话、认证配置文件、通道和状态。 你的笔记本电脑/台式机(和节点)连接到该主机。

1) tailnet 中的常驻网关(VPS 或家庭服务器) ​

在持久主机上运行网关,通过 Tailscale 或 SSH 访问。

  • **最佳用户体验:**保持 gateway.bind: "loopback" 并使用 Tailscale Serve 提供控制 UI。
  • **后备方案:**保持回环 + 从任何需要访问的机器使用 SSH 隧道。
  • 示例:exe.dev(简易 VM)或 Hetzner(生产环境 VPS)。

当你的笔记本电脑经常休眠但你希望代理始终在线时,这是理想选择。

2) 家庭台式机运行网关,笔记本电脑远程控制 ​

笔记本电脑不运行代理。它远程连接:

  • 使用 macOS 应用的通过 SSH 远程模式(设置 → 通用 → "OpenClaw 运行位置")。
  • 应用会打开并管理隧道,因此 WebChat + 健康检查可以"开箱即用"。

运维手册:macOS 远程访问。

3) 笔记本电脑运行网关,从其他机器远程访问 ​

保持网关在本地但安全地暴露它:

  • 从其他机器通过 SSH 隧道连接到笔记本电脑,或
  • 使用 Tailscale Serve 提供控制 UI,并保持网关仅限回环。

指南:Tailscale 和 Web 概述。

命令流程(什么在哪里运行) ​

一个网关服务拥有状态 + 通道。节点是外围设备。

流程示例(Telegram → 节点):

  • Telegram 消息到达网关。
  • 网关运行代理并决定是否调用节点工具。
  • 网关通过网关 WebSocket(node.* RPC)调用节点。
  • 节点返回结果;网关回复到 Telegram。

注意:

  • **节点不运行网关服务。**除非你有意运行隔离的配置文件(参见多网关),否则每个主机只应运行一个网关。
  • macOS 应用的"节点模式"只是通过网关 WebSocket 的节点客户端。

SSH 隧道(CLI + 工具) ​

创建到远程网关 WS 的本地隧道:

bash
ssh -N -L 18789:127.0.0.1:18789 user@host

隧道建立后:

  • openclaw health 和 openclaw status --deep 现在通过 ws://127.0.0.1:18789 访问远程网关。
  • openclaw gateway {status,health,send,agent,call} 也可以在需要时通过 --url 指向转发的 URL。

注意:将 18789 替换为你配置的 gateway.port(或 --port/OPENCLAW_GATEWAY_PORT)。

CLI 远程默认值 ​

你可以持久化远程目标,使 CLI 命令默认使用它:

json5
{
  gateway: {
    mode: "remote",
    remote: {
      url: "ws://127.0.0.1:18789",
      token: "your-token",
    },
  },
}

当网关仅限回环时,将 URL 保持在 ws://127.0.0.1:18789 并首先打开 SSH 隧道。

通过 SSH 的聊天 UI ​

WebChat 不再使用单独的 HTTP 端口。SwiftUI 聊天 UI 直接连接到网关 WebSocket。

  • 通过 SSH 转发 18789(见上文),然后将客户端连接到 ws://127.0.0.1:18789。
  • 在 macOS 上,推荐使用应用的"通过 SSH 远程"模式,它会自动管理隧道。

macOS 应用"通过 SSH 远程" ​

macOS 菜单栏应用可以端到端驱动相同的设置(远程状态检查、WebChat 和语音唤醒转发)。

运维手册:macOS 远程访问。

安全规则(远程/VPN) ​

简短版本:保持网关仅限回环,除非你确定需要绑定。

  • 回环 + SSH/Tailscale Serve 是最安全的默认设置(无公开暴露)。
  • 非回环绑定(lan/tailnet/custom,或当回环不可用时使用 auto)必须使用认证令牌/密码。
  • gateway.remote.token 仅用于远程 CLI 调用 — 它不启用本地认证。
  • gateway.remote.tlsFingerprint 在使用 wss:// 时固定远程 TLS 证书。
  • Tailscale Serve 可以在 gateway.auth.allowTailscale: true 时通过身份标头进行认证。 如果你想使用令牌/密码,请将其设置为 false。
  • 将浏览器控制视为操作员访问:仅限 tailnet + 有意的节点配对。

深入探讨:安全性。