انسیبل

OpenClaw را با openclaw-ansible، یک نصب‌کننده خودکار با معماری امنیت‌محور، روی سرورهای عملیاتی مستقر کنید.

پیش‌نیازها

امکانات ارائه‌شده

• امنیت مبتنی بر فایروال: UFW + جداسازی Docker (فقط SSH + Tailscale در دسترس هستند)
• VPN مبتنی بر Tailscale برای دسترسی از راه دور بدون قرار دادن سرویس‌ها در معرض دسترسی عمومی
• Docker برای کانتینرهای sandbox ایزوله با اتصال‌های محدود به localhost
• یکپارچه‌سازی با systemd همراه با سخت‌سازی و شروع خودکار هنگام راه‌اندازی سیستم
• راه‌اندازی با یک فرمان

شروع سریع

curl -fsSL https://raw.githubusercontent.com/openclaw/openclaw-ansible/main/install.sh | bash

موارد نصب‌شده

1. Tailscale (VPN مش برای دسترسی امن از راه دور)
2. فایروال UFW (فقط درگاه‌های SSH + Tailscale)
3. Docker CE + Compose V2 (بک‌اند پیش‌فرض sandbox عامل)
4. Node.js و pnpm (OpenClaw به Node 22.22.3+، 24.15+ یا 25.9+ نیاز دارد؛ Node 24 توصیه می‌شود)
5. OpenClaw که مستقیماً روی میزبان و نه در کانتینر نصب می‌شود
6. یک سرویس systemd همراه با سخت‌سازی امنیتی

راه‌اندازی پس از نصب

sudo -i -u openclaw

openclaw channels login --channel <name>

sudo systemctl status openclawsudo journalctl -u openclaw -f

فرمان‌های سریع

# بررسی وضعیت سرویسsudo systemctl status openclaw # مشاهده زنده گزارش‌هاsudo journalctl -u openclaw -f # راه‌اندازی مجدد Gatewaysudo systemctl restart openclaw # ورود به کانال (به‌عنوان کاربر openclaw اجرا شود)sudo -i -u openclawopenclaw channels login --channel <name>

معماری امنیتی

مدل دفاعی چهارلایه:

1. فایروال (UFW): فقط SSH (22) و Tailscale (41641/udp) در معرض دسترسی عمومی هستند
2. VPN (Tailscale): Gateway فقط از طریق مش VPN در دسترس است
3. جداسازی Docker: زنجیره iptables با نام DOCKER-USER از قرار گرفتن درگاه‌ها در معرض دسترسی خارجی جلوگیری می‌کند
4. سخت‌سازی systemd: NoNewPrivileges، PrivateTmp، کاربر بدون دسترسی ویژه

سطح حمله خارجی خود را بررسی کنید:

nmap -p- YOUR_SERVER_IP

فقط درگاه 22 (SSH) باید باز باشد. Gateway و Docker مسدود و محافظت‌شده باقی می‌مانند.

Docker برای sandboxهای عامل (اجرای ایزوله ابزارها) نصب می‌شود، نه برای اجرای Gateway. برای پیکربندی sandbox به Sandbox و ابزارهای چندعاملی مراجعه کنید.

نصب دستی

sudo apt update && sudo apt install -y ansible git

git clone https://github.com/openclaw/openclaw-ansible.gitcd openclaw-ansible

ansible-galaxy collection install -r requirements.yml

./run-playbook.sh

ansible-playbook playbook.yml --ask-become-pass# سپس اجرا کنید: /tmp/openclaw-setup.sh

به‌روزرسانی

نصب‌کننده Ansible، ‏OpenClaw را برای به‌روزرسانی دستی تنظیم می‌کند؛ برای روند استاندارد به به‌روزرسانی مراجعه کنید.

برای اجرای مجدد playbook (برای مثال، پس از تغییرات پیکربندی):

cd openclaw-ansible./run-playbook.sh

این فرایند idempotent است و می‌توان آن را چندین بار با خیال راحت اجرا کرد.

عیب‌یابی

# بررسی گزارش‌هاsudo journalctl -u openclaw -n 100 # بررسی مجوزهاsudo ls -la /opt/openclaw # آزمایش شروع دستیsudo -i -u openclawcd ~/openclawopenclaw gateway run

# بررسی اجرای Dockersudo systemctl status docker # بررسی تصویر sandboxsudo docker images | grep openclaw-sandbox # ساخت تصویر sandbox در صورت موجود نبودن (به دریافت کد منبع نیاز دارد)cd /opt/openclaw/openclawsudo -u openclaw ./scripts/sandbox-setup.sh# برای نصب‌های npm بدون دریافت کد منبع، مراجعه کنید به# https://docs.openclaw.ai/gateway/sandboxing#images-and-setup

sudo -i -u openclawopenclaw channels login --channel <name>

پیکربندی پیشرفته

برای معماری امنیتی و عیب‌یابی تفصیلی، به مخزن openclaw-ansible مراجعه کنید:

• معماری امنیتی
• جزئیات فنی
• راهنمای عیب‌یابی

مرتبط

• openclaw-ansible: راهنمای کامل استقرار
• Docker: راه‌اندازی کانتینری Gateway
• Sandboxing: پیکربندی sandbox عامل
• Sandbox و ابزارهای چندعاملی: جداسازی هر عامل