Fly.io

Doel: OpenClaw Gateway die op een Fly.io-machine draait met permanente opslag, automatische HTTPS en toegang tot Discord/kanalen.

Wat je nodig hebt

• flyctl CLI geïnstalleerd
• Fly.io-account (gratis niveau werkt)
• Modelauthenticatie: API-sleutel voor de gekozen modelprovider
• Kanaalreferenties: Discord-bottoken, Telegram-token, enzovoort

Snel aan de slag voor beginners

1. Kloon de repository en pas fly.toml aan
2. Maak de app en het volume aan en stel geheimen in
3. Implementeer met fly deploy
4. Maak via SSH verbinding om de configuratie te maken, of gebruik de Control UI

git clone https://github.com/openclaw/openclaw.gitcd openclaw # kies je eigen naamfly apps create my-openclaw # 1 GB is doorgaans voldoendefly volumes create openclaw_data --size 1 --region iad

app = "my-openclaw"  # naam van je appprimary_region = "iad" [build]  dockerfile = "Dockerfile" [env]  NODE_ENV = "production"  OPENCLAW_PREFER_PNPM = "1"  OPENCLAW_STATE_DIR = "/data"  NODE_OPTIONS = "--max-old-space-size=1536" [processes]  app = "node dist/index.js gateway --allow-unconfigured --port 3000 --bind lan" [http_service]  internal_port = 3000  force_https = true  auto_stop_machines = false  auto_start_machines = true  min_machines_running = 1  processes = ["app"] [[vm]]  size = "shared-cpu-2x"  memory = "2048mb" [mounts]  source = "openclaw_data"  destination = "/data"

# vereist: gatewayauthenticatietoken voor binding buiten de loopbackinterfacefly secrets set OPENCLAW_GATEWAY_TOKEN=$(openssl rand -hex 32) # API-sleutels voor modelprovidersfly secrets set ANTHROPIC_API_KEY=example-anthropic-key-not-real # optioneel: andere providersfly secrets set OPENAI_API_KEY=example-openai-key-not-realfly secrets set GOOGLE_API_KEY=... # kanaaltokensfly secrets set DISCORD_BOT_TOKEN=example-discord-bot-token

fly deploy

fly statusfly logs

fly ssh console

mkdir -p /datacat > /data/openclaw.json << 'EOF'{  "agents": {    "defaults": {      "model": {        "primary": "anthropic/claude-opus-4-6",        "fallbacks": ["anthropic/claude-sonnet-4-6", "openai/gpt-5.4"]      },      "maxConcurrent": 4    },    "list": [      {        "id": "main",        "default": true      }    ]  },  "auth": {    "profiles": {      "anthropic:default": { "mode": "token", "provider": "anthropic" },      "openai:default": { "mode": "token", "provider": "openai" }    }  },  "bindings": [    {      "agentId": "main",      "match": { "channel": "discord" }    }  ],  "channels": {    "discord": {      "enabled": true,      "groupPolicy": "allowlist",      "guilds": {        "YOUR_GUILD_ID": {          "channels": { "general": { "allow": true } },          "requireMention": false        }      }    }  },  "gateway": {    "mode": "local",    "bind": "auto",    "controlUi": {      "allowedOrigins": [        "https://my-openclaw.fly.dev",        "http://localhost:3000",        "http://127.0.0.1:3000"      ]    }  },  "meta": {}}EOF

exitfly machine restart <machine-id>

fly open

fly logs              # live logboekenfly logs --no-tail    # recente logboeken

fly ssh console

Problemen oplossen

"App is not listening on expected address"

De Gateway bindt aan 127.0.0.1 in plaats van 0.0.0.0.

Oplossing: voeg --bind lan toe aan je procesopdracht in fly.toml.

Statuscontroles mislukken / verbinding geweigerd

Fly kan de Gateway niet bereiken op de geconfigureerde poort.

Oplossing: zorg ervoor dat internal_port overeenkomt met de gatewaypoort (--port 3000 of OPENCLAW_GATEWAY_PORT=3000).

OOM-/geheugenproblemen

De container wordt steeds opnieuw gestart of beëindigd. Signalen: SIGABRT, v8::internal::Runtime_AllocateInYoungGeneration of stille herstarts.

Oplossing: vergroot het geheugen in fly.toml:

[[vm]]  memory = "2048mb"

Of werk een bestaande machine bij:

fly machine update <machine-id> --vm-memory 2048 -y

512 MB is te weinig. 1 GB werkt mogelijk, maar kan bij belasting of uitgebreide logboekregistratie een OOM veroorzaken. 2 GB wordt aanbevolen.

Problemen met de Gateway-vergrendeling

De Gateway weigert te starten met fouten die aangeven dat deze "al actief" is nadat een container opnieuw is gestart.

De runtimevergrendelingsbestanden bevinden zich in <tmpdir>/openclaw-<uid>/gateway.<hash>.lock en gateway.state.<hash>.lock (Linux: /tmp/openclaw-<uid>/gateway.*.lock), niet op het permanente volume /data, dus bij een volledige herstart van de container worden ze doorgaans samen met de rest van het containerbestandssysteem gewist. Als een vergrendeling behouden blijft (bijvoorbeeld door een fly machine restart die het containerbestandssysteem behoudt) en het opstarten blokkeert, verwijder je deze handmatig:

fly ssh console --command "rm -f /tmp/openclaw-*/gateway.*.lock"fly machine restart <machine-id>

Configuratie wordt niet gelezen

--allow-unconfigured omzeilt alleen de opstartbeveiliging. Het maakt of herstelt /data/openclaw.json niet. Zorg er daarom voor dat je werkelijke configuratie bestaat en "gateway": { "mode": "local" } bevat voor een normale lokale start van de Gateway.

Controleer of de configuratie bestaat:

fly ssh console --command "cat /data/openclaw.json"

Configuratie schrijven via SSH

fly ssh console -C ondersteunt geen shellomleiding. Zo schrijf je een configuratiebestand:

# echo + tee (via een pipe van lokaal naar extern)echo '{"your":"config"}' | fly ssh console -C "tee /data/openclaw.json" # of sftpfly sftp shell> put /local/path/config.json /data/openclaw.json

fly sftp kan mislukken als het bestand al bestaat; verwijder het eerst:

fly ssh console --command "rm /data/openclaw.json"

Status blijft niet behouden

Als je na een herstart authenticatieprofielen, kanaal-/providerstatus of sessies kwijtraakt, schrijft de statusmap naar het containerbestandssysteem in plaats van naar het volume.

Oplossing: zorg ervoor dat OPENCLAW_STATE_DIR=/data is ingesteld in fly.toml en implementeer opnieuw.

Bijwerken

git pullfly deployfly statusfly logs

git pull + fly deploy is hier het beheerde pad: hiermee wordt de image opnieuw vanuit het Dockerfile gebouwd, zodat de versie van de CLI/Gateway, de basis-OS-image en eventuele wijzigingen in het Dockerfile samen worden bijgewerkt. openclaw update in de actieve container is niet dezelfde bewerking, omdat de image wordt geleverd als een door Docker gebouwde dist/-structuur zonder .git-checkout en zonder door npm beheerde globale installatie die kan worden gedetecteerd; zie Bijwerken voor die procedure bij installaties in VM-stijl.

De machineopdracht bijwerken

Zo wijzig je de opstartopdracht zonder een volledige herimplementatie:

fly machines listfly machine update <machine-id> --command "node dist/index.js gateway --port 3000 --bind lan" -y # of met meer geheugenfly machine update <machine-id> --vm-memory 2048 --command "node dist/index.js gateway --port 3000 --bind lan" -y

Een latere fly deploy zet de machineopdracht terug naar wat in fly.toml staat; pas handmatige wijzigingen opnieuw toe na de herimplementatie.

Privé-implementatie (gehard)

Fly wijst standaard openbare IP-adressen toe, waardoor je Gateway bereikbaar is via https://your-app.fly.dev en kan worden gevonden door internetscanners (Shodan, Censys, enzovoort).

Gebruik deploy/fly.private.toml voor een geharde implementatie zonder openbaar IP-adres: hierin ontbreekt [http_service], zodat er geen openbare inkomende toegang wordt toegewezen.

Wanneer je privé-implementatie gebruikt

• Alleen uitgaande oproepen/berichten (geen inkomende Webhooks)
• ngrok- of Tailscale-tunnels verwerken eventuele Webhook-callbacks
• Toegang tot de Gateway verloopt via SSH, proxy of WireGuard in plaats van via een browser
• De implementatie moet verborgen blijven voor internetscanners

Installatie

fly deploy -c deploy/fly.private.toml

Of zet een bestaande implementatie om:

# huidige IP-adressen weergevenfly ips list -a my-openclaw # openbare IP-adressen vrijgevenfly ips release <public-ipv4> -a my-openclawfly ips release <public-ipv6> -a my-openclaw # overschakelen naar de privéconfiguratie, zodat toekomstige implementaties geen openbare IP-adressen opnieuw toewijzenfly deploy -c deploy/fly.private.toml # uitsluitend privé-IPv6 toewijzenfly ips allocate-v6 --private -a my-openclaw

Hierna zou fly ips list alleen een IP-adres van het type private moeten tonen:

VERSIE   IP                   TYPE             REGIOv6       fdaa:x:x:x:x::x      privé            wereldwijd

Toegang tot een privé-implementatie

Optie 1: lokale proxy (eenvoudigst)

fly proxy 3000:3000 -a my-openclaw# open http://localhost:3000 in een browser

Optie 2: WireGuard-VPN

fly wireguard create# importeer dit in een WireGuard-client en krijg vervolgens toegang via het interne IPv6-adres# voorbeeld: http://[fdaa:x:x:x:x::x]:3000

Optie 3: alleen SSH

fly ssh console -a my-openclaw

Webhooks bij een privé-implementatie

Voor webhookcallbacks (Twilio, Telnyx enzovoort) zonder openbare blootstelling:

1. ngrok-tunnel: voer ngrok uit in de container of als sidecar
2. Tailscale Funnel: stel specifieke paden beschikbaar via Tailscale
3. Alleen uitgaand: sommige providers (Twilio) werken voor uitgaande gesprekken zonder webhooks

Voorbeeldconfiguratie voor spraakoproepen met ngrok, onder plugins.entries.voice-call.config:

{  plugins: {    entries: {      "voice-call": {        enabled: true,        config: {          provider: "twilio",          tunnel: { provider: "ngrok" },          webhookSecurity: {            allowedHosts: ["example.ngrok.app"],          },        },      },    },  },}

De ngrok-tunnel wordt in de container uitgevoerd en biedt een openbare webhook-URL zonder de Fly-app zelf openbaar beschikbaar te maken. Stel webhookSecurity.allowedHosts in op de hostnaam van de tunnel, zodat doorgestuurde hostheaders worden geaccepteerd.

Afwegingen op het gebied van beveiliging

Opmerkingen

• Fly.io gebruikt de x86-architectuur; het Dockerfile is compatibel met zowel x86 als ARM.
• Gebruik fly ssh console voor de onboarding van WhatsApp/Telegram.
• Permanente gegevens staan op het volume bij /data.
• Signal vereist signal-cli (een Java-gebaseerde CLI) in de image; gebruik een aangepaste image en houd het geheugen op 2GB+.

Kosten

Met de aanbevolen configuratie (shared-cpu-2x, 2GB RAM) kun je, afhankelijk van het gebruik, rekenen op ongeveer $10-15/maand; de gratis laag dekt een deel van het basisquotum. Zie prijzen van Fly.io voor de actuele tarieven.

Volgende stappen

• Stel berichtenkanalen in: Kanalen
• Configureer de Gateway: Gateway-configuratie
• Houd OpenClaw up-to-date: Bijwerken

Gerelateerd

• Installatieoverzicht
• Hetzner
• Docker
• VPS-hosting