Fly.io

Objetivo: Gateway de OpenClaw ejecutándose en una máquina de Fly.io con almacenamiento persistente, HTTPS automático y acceso a Discord/canales.

Qué se necesita

• CLI flyctl instalada
• Cuenta de Fly.io (el nivel gratuito funciona)
• Autenticación del modelo: clave de API del proveedor de modelos elegido
• Credenciales del canal: token de bot de Discord, token de Telegram, etc.

Ruta rápida para principiantes

1. Clonar el repositorio y personalizar fly.toml
2. Crear la aplicación y el volumen, y establecer los secretos
3. Desplegar con fly deploy
4. Acceder mediante SSH para crear la configuración o usar la interfaz de control

git clone https://github.com/openclaw/openclaw.gitcd openclaw # elija su propio nombrefly apps create my-openclaw # 1 GB suele ser suficientefly volumes create openclaw_data --size 1 --region iad

app = "my-openclaw"  # nombre de la aplicaciónprimary_region = "iad" [build]  dockerfile = "Dockerfile" [env]  NODE_ENV = "production"  OPENCLAW_PREFER_PNPM = "1"  OPENCLAW_STATE_DIR = "/data"  NODE_OPTIONS = "--max-old-space-size=1536" [processes]  app = "node dist/index.js gateway --allow-unconfigured --port 3000 --bind lan" [http_service]  internal_port = 3000  force_https = true  auto_stop_machines = false  auto_start_machines = true  min_machines_running = 1  processes = ["app"] [[vm]]  size = "shared-cpu-2x"  memory = "2048mb" [mounts]  source = "openclaw_data"  destination = "/data"

# obligatorio: token de autenticación del Gateway para el enlace fuera de loopbackfly secrets set OPENCLAW_GATEWAY_TOKEN=$(openssl rand -hex 32) # claves de API de los proveedores de modelosfly secrets set ANTHROPIC_API_KEY=example-anthropic-key-not-real # opcional: otros proveedoresfly secrets set OPENAI_API_KEY=example-openai-key-not-realfly secrets set GOOGLE_API_KEY=... # tokens de canalesfly secrets set DISCORD_BOT_TOKEN=example-discord-bot-token

fly deploy

fly statusfly logs

fly ssh console

mkdir -p /datacat > /data/openclaw.json << 'EOF'{  "agents": {    "defaults": {      "model": {        "primary": "anthropic/claude-opus-4-6",        "fallbacks": ["anthropic/claude-sonnet-4-6", "openai/gpt-5.4"]      },      "maxConcurrent": 4    },    "list": [      {        "id": "main",        "default": true      }    ]  },  "auth": {    "profiles": {      "anthropic:default": { "mode": "token", "provider": "anthropic" },      "openai:default": { "mode": "token", "provider": "openai" }    }  },  "bindings": [    {      "agentId": "main",      "match": { "channel": "discord" }    }  ],  "channels": {    "discord": {      "enabled": true,      "groupPolicy": "allowlist",      "guilds": {        "YOUR_GUILD_ID": {          "channels": { "general": { "allow": true } },          "requireMention": false        }      }    }  },  "gateway": {    "mode": "local",    "bind": "auto",    "controlUi": {      "allowedOrigins": [        "https://my-openclaw.fly.dev",        "http://localhost:3000",        "http://127.0.0.1:3000"      ]    }  },  "meta": {}}EOF

exitfly machine restart <machine-id>

fly open

fly logs              # registros en directofly logs --no-tail    # registros recientes

fly ssh console

Solución de problemas

«La aplicación no escucha en la dirección esperada»

El Gateway se enlaza a 127.0.0.1 en lugar de 0.0.0.0.

Solución: añada --bind lan al comando del proceso en fly.toml.

Las comprobaciones de estado fallan o se rechaza la conexión

Fly no puede acceder al Gateway en el puerto configurado.

Solución: asegúrese de que internal_port coincida con el puerto del Gateway (--port 3000 o OPENCLAW_GATEWAY_PORT=3000).

Problemas de memoria/OOM

El contenedor continúa reiniciándose o el sistema finaliza su proceso. Indicadores: SIGABRT, v8::internal::Runtime_AllocateInYoungGeneration o reinicios silenciosos.

Solución: aumente la memoria en fly.toml:

[[vm]]  memory = "2048mb"

También puede actualizar una máquina existente:

fly machine update <machine-id> --vm-memory 2048 -y

512 MB es insuficiente. 1 GB puede funcionar, pero podría producirse un error OOM bajo carga o con registros detallados. Se recomiendan 2 GB.

Problemas de bloqueo del Gateway

El Gateway se niega a iniciarse con errores de «ya está en ejecución» después de reiniciar un contenedor.

Los archivos de bloqueo del entorno de ejecución se encuentran en <tmpdir>/openclaw-<uid>/gateway.<hash>.lock y gateway.state.<hash>.lock (Linux: /tmp/openclaw-<uid>/gateway.*.lock), no en el volumen persistente /data, por lo que un reinicio completo del contenedor normalmente los elimina junto con el resto del sistema de archivos del contenedor. Si un bloqueo persiste (por ejemplo, un fly machine restart que conserva el sistema de archivos del contenedor) e impide el inicio, elimínelo manualmente:

fly ssh console --command "rm -f /tmp/openclaw-*/gateway.*.lock"fly machine restart <machine-id>

No se lee la configuración

--allow-unconfigured solo omite la protección de inicio. No crea ni repara /data/openclaw.json, así que asegúrese de que la configuración real exista e incluya "gateway": { "mode": "local" } para iniciar normalmente un Gateway local.

Compruebe que la configuración exista:

fly ssh console --command "cat /data/openclaw.json"

Escritura de la configuración mediante SSH

fly ssh console -C no admite la redirección del shell. Para escribir un archivo de configuración:

# echo + tee (canalización del equipo local al remoto)echo '{"your":"config"}' | fly ssh console -C "tee /data/openclaw.json" # o sftpfly sftp shell> put /local/path/config.json /data/openclaw.json

fly sftp puede fallar si el archivo ya existe; elimínelo primero:

fly ssh console --command "rm /data/openclaw.json"

El estado no persiste

Si se pierden los perfiles de autenticación, el estado del canal/proveedor o las sesiones después de reiniciar, el directorio de estado está escribiendo en el sistema de archivos del contenedor en lugar de hacerlo en el volumen.

Solución: asegúrese de que OPENCLAW_STATE_DIR=/data esté definido en fly.toml y vuelva a desplegar.

Actualización

git pullfly deployfly statusfly logs

git pull + fly deploy es la ruta supervisada en este caso: recompila la imagen a partir del Dockerfile, por lo que la versión de la CLI/del Gateway, la imagen base del sistema operativo y cualquier cambio en el Dockerfile se actualizan conjuntamente. Ejecutar openclaw update dentro del contenedor no es la misma operación, ya que la imagen se distribuye como un árbol dist/ compilado con Docker, sin un repositorio .git y sin una instalación global administrada por npm que pueda detectar; consulte Actualización para conocer ese flujo en instalaciones de tipo VM.

Actualización del comando de la máquina

Para cambiar el comando de inicio sin realizar un despliegue completo:

fly machines listfly machine update <machine-id> --command "node dist/index.js gateway --port 3000 --bind lan" -y # o con un aumento de memoriafly machine update <machine-id> --vm-memory 2048 --command "node dist/index.js gateway --port 3000 --bind lan" -y

Un fly deploy posterior restablece el comando de la máquina al valor definido en fly.toml; vuelva a aplicar los cambios manuales después de volver a desplegar.

Despliegue privado (reforzado)

De forma predeterminada, Fly asigna IP públicas, por lo que el Gateway está disponible en https://your-app.fly.dev y puede ser descubierto por escáneres de Internet (Shodan, Censys, etc.).

Use deploy/fly.private.toml para un despliegue reforzado sin IP pública: omite [http_service], por lo que no se asigna ninguna entrada pública.

Cuándo usar un despliegue privado

• Solo llamadas/mensajes salientes (sin webhooks entrantes)
• Los túneles de ngrok o Tailscale gestionan cualquier devolución de llamada de Webhook
• Se accede al Gateway mediante SSH, proxy o WireGuard en lugar de un navegador
• El despliegue debe permanecer oculto para los escáneres de Internet

Configuración

fly deploy -c deploy/fly.private.toml

También puede convertir un despliegue existente:

# mostrar las IP actualesfly ips list -a my-openclaw # liberar las IP públicasfly ips release <public-ipv4> -a my-openclawfly ips release <public-ipv6> -a my-openclaw # cambiar a la configuración privada para que los despliegues futuros no vuelvan a asignar IP públicasfly deploy -c deploy/fly.private.toml # asignar una IPv6 exclusivamente privadafly ips allocate-v6 --private -a my-openclaw

Después de esto, fly ips list debería mostrar solo una IP de tipo private:

VERSIÓN  IP                   TIPO             REGIÓNv6       fdaa:x:x:x:x::x      privada          global

Acceso a un despliegue privado

Opción 1: proxy local (la más sencilla)

fly proxy 3000:3000 -a my-openclaw# abrir http://localhost:3000 en un navegador

Opción 2: VPN WireGuard

fly wireguard create# importar en un cliente WireGuard y acceder mediante la IPv6 interna# ejemplo: http://[fdaa:x:x:x:x::x]:3000

Opción 3: solo SSH

fly ssh console -a my-openclaw

Webhooks con un despliegue privado

Para devoluciones de llamada de Webhook (Twilio, Telnyx, etc.) sin exposición pública:

1. túnel de ngrok: ejecutar ngrok dentro del contenedor o como contenedor auxiliar
2. Tailscale Funnel: exponer rutas específicas mediante Tailscale
3. Solo saliente: algunos proveedores (Twilio) funcionan para llamadas salientes sin webhooks

Ejemplo de configuración de llamadas de voz con ngrok, en plugins.entries.voice-call.config:

{  plugins: {    entries: {      "voice-call": {        enabled: true,        config: {          provider: "twilio",          tunnel: { provider: "ngrok" },          webhookSecurity: {            allowedHosts: ["example.ngrok.app"],          },        },      },    },  },}

El túnel de ngrok se ejecuta dentro del contenedor y proporciona una URL pública de Webhook sin exponer la propia aplicación de Fly. Establezca webhookSecurity.allowedHosts en el nombre de host del túnel para que se acepten las cabeceras de host reenviadas.

Consideraciones de seguridad

Notas

• Fly.io utiliza arquitectura x86; el Dockerfile es compatible tanto con x86 como con ARM.
• Para la incorporación de WhatsApp/Telegram, utilice fly ssh console.
• Los datos persistentes se almacenan en el volumen ubicado en /data.
• Signal requiere signal-cli (una CLI basada en Java) en la imagen; utilice una imagen personalizada y mantenga la memoria en 2 GB o más.

Coste

Con la configuración recomendada (shared-cpu-2x, 2 GB de RAM), el coste aproximado es de $10-15 al mes, según el uso; el nivel gratuito cubre parte de la asignación básica. Consulte los precios de Fly.io para conocer las tarifas actuales.

Siguientes pasos

• Configurar canales de mensajería: Canales
• Configurar el Gateway: Configuración del Gateway
• Mantener OpenClaw actualizado: Actualización

Contenido relacionado

• Descripción general de la instalación
• Hetzner
• Docker
• Alojamiento en VPS