Ansible

Distribuisci OpenClaw su server di produzione con openclaw-ansible -- un installer automatizzato con un'architettura orientata prima di tutto alla sicurezza.

Prerequisiti

Cosa ottieni

• Sicurezza firewall-first -- isolamento UFW + Docker (accessibili solo SSH + Tailscale)
• VPN Tailscale -- accesso remoto sicuro senza esporre pubblicamente i servizi
• Docker -- container sandbox isolati, binding solo su localhost
• Difesa in profondità -- architettura di sicurezza a 4 livelli
• Integrazione Systemd -- avvio automatico al boot con hardening
• Configurazione con un solo comando -- distribuzione completa in pochi minuti

Avvio rapido

Installazione con un solo comando:

curl -fsSL https://raw.githubusercontent.com/openclaw/openclaw-ansible/main/install.sh | bash

Cosa viene installato

Il playbook Ansible installa e configura:

1. Tailscale -- VPN mesh per accesso remoto sicuro
2. Firewall UFW -- solo porte SSH + Tailscale
3. Docker CE + Compose V2 -- per il backend sandbox dell'agente predefinito
4. Node.js 24 + pnpm -- dipendenze di runtime (Node 22 LTS, attualmente 22.19+, resta supportato)
5. OpenClaw -- basato sull'host, non containerizzato
6. Servizio Systemd -- avvio automatico con hardening di sicurezza

Configurazione post-installazione

sudo -i -u openclaw

openclaw channels login

sudo systemctl status openclawsudo journalctl -u openclaw -f

Comandi rapidi

# Check service statussudo systemctl status openclaw # View live logssudo journalctl -u openclaw -f # Restart gatewaysudo systemctl restart openclaw # Provider login (run as openclaw user)sudo -i -u openclawopenclaw channels login

Architettura di sicurezza

La distribuzione usa un modello di difesa a 4 livelli:

1. Firewall (UFW) -- solo SSH (22) + Tailscale (41641/udp) esposti pubblicamente
2. VPN (Tailscale) -- gateway accessibile solo tramite mesh VPN
3. Isolamento Docker -- la catena iptables DOCKER-USER impedisce l'esposizione di porte esterne
4. Hardening Systemd -- NoNewPrivileges, PrivateTmp, utente non privilegiato

Per verificare la tua superficie di attacco esterna:

nmap -p- YOUR_SERVER_IP

Solo la porta 22 (SSH) dovrebbe essere aperta. Tutti gli altri servizi (gateway, Docker) sono bloccati.

Docker viene installato per le sandbox degli agenti (esecuzione isolata degli strumenti), non per eseguire il gateway stesso. Vedi Multi-Agent Sandbox and Tools per la configurazione della sandbox.

Installazione manuale

Se preferisci il controllo manuale rispetto all'automazione:

sudo apt update && sudo apt install -y ansible git

git clone https://github.com/openclaw/openclaw-ansible.gitcd openclaw-ansible

ansible-galaxy collection install -r requirements.yml

./run-playbook.sh

ansible-playbook playbook.yml --ask-become-pass# Then run: /tmp/openclaw-setup.sh

Aggiornamento

L'installer Ansible configura OpenClaw per gli aggiornamenti manuali. Vedi Aggiornamento per il flusso di aggiornamento standard.

Per rieseguire il playbook Ansible (per esempio, per modifiche di configurazione):

cd openclaw-ansible./run-playbook.sh

È idempotente e sicuro da eseguire più volte.

Risoluzione dei problemi

# Check logssudo journalctl -u openclaw -n 100 # Verify permissionssudo ls -la /opt/openclaw # Test manual startsudo -i -u openclawcd ~/openclawopenclaw gateway run

# Verify Docker is runningsudo systemctl status docker # Check sandbox imagesudo docker images | grep openclaw-sandbox # Build sandbox image if missing (requires source checkout)cd /opt/openclaw/openclawsudo -u openclaw ./scripts/sandbox-setup.sh# For npm installs without a source checkout, see# https://docs.openclaw.ai/gateway/sandboxing#images-and-setup

sudo -i -u openclawopenclaw channels login

Configurazione avanzata

Per l'architettura di sicurezza dettagliata e la risoluzione dei problemi, vedi il repository openclaw-ansible:

• Architettura di sicurezza
• Dettagli tecnici
• Guida alla risoluzione dei problemi

Correlati

• openclaw-ansible -- guida completa alla distribuzione
• Docker -- configurazione del gateway containerizzato
• Sandboxing -- configurazione della sandbox degli agenti
• Multi-Agent Sandbox and Tools -- isolamento per agente