Ansible

Разверните OpenClaw на производственных серверах с openclaw-ansible -- автоматическим установщиком с архитектурой, ориентированной на безопасность.

Предварительные требования

Что вы получаете

• Безопасность с приоритетом межсетевого экрана -- изоляция UFW + Docker (доступны только SSH + Tailscale)
• Tailscale VPN -- безопасный удаленный доступ без публичного раскрытия сервисов
• Docker -- изолированные контейнеры-песочницы, привязки только к localhost
• Глубоко эшелонированная защита -- 4-уровневая архитектура безопасности
• Интеграция с systemd -- автозапуск при загрузке с усилением безопасности
• Настройка одной командой -- полное развертывание за минуты

Быстрый старт

Установка одной командой:

curl -fsSL https://raw.githubusercontent.com/openclaw/openclaw-ansible/main/install.sh | bash

Что устанавливается

Playbook Ansible устанавливает и настраивает:

1. Tailscale -- mesh VPN для безопасного удаленного доступа
2. Межсетевой экран UFW -- только порты SSH + Tailscale
3. Docker CE + Compose V2 -- для стандартного backend песочницы агента
4. Node.js 24 + pnpm -- зависимости среды выполнения (Node 22 LTS, сейчас 22.19+, остается поддерживаемым)
5. OpenClaw -- размещается на хосте, не контейнеризируется
6. Сервис systemd -- автозапуск с усилением безопасности

Настройка после установки

sudo -i -u openclaw

openclaw channels login

sudo systemctl status openclawsudo journalctl -u openclaw -f

Быстрые команды

# Check service statussudo systemctl status openclaw # View live logssudo journalctl -u openclaw -f # Restart gatewaysudo systemctl restart openclaw # Provider login (run as openclaw user)sudo -i -u openclawopenclaw channels login

Архитектура безопасности

Развертывание использует 4-уровневую модель защиты:

1. Межсетевой экран (UFW) -- публично открыты только SSH (22) + Tailscale (41641/udp)
2. VPN (Tailscale) -- Gateway доступен только через VPN mesh
3. Изоляция Docker -- цепочка iptables DOCKER-USER предотвращает внешнее раскрытие портов
4. Усиление systemd -- NoNewPrivileges, PrivateTmp, непривилегированный пользователь

Чтобы проверить вашу внешнюю поверхность атаки:

nmap -p- YOUR_SERVER_IP

Открыт должен быть только порт 22 (SSH). Все остальные сервисы (Gateway, Docker) заблокированы.

Docker устанавливается для песочниц агентов (изолированного выполнения инструментов), а не для запуска самого Gateway. Настройку песочницы см. в Многоагентная песочница и инструменты.

Ручная установка

Если вы предпочитаете ручной контроль вместо автоматизации:

sudo apt update && sudo apt install -y ansible git

git clone https://github.com/openclaw/openclaw-ansible.gitcd openclaw-ansible

ansible-galaxy collection install -r requirements.yml

./run-playbook.sh

ansible-playbook playbook.yml --ask-become-pass# Then run: /tmp/openclaw-setup.sh

Обновление

Установщик Ansible настраивает OpenClaw для ручных обновлений. Стандартный процесс обновления см. в Обновление.

Чтобы повторно запустить playbook Ansible (например, для изменений конфигурации):

cd openclaw-ansible./run-playbook.sh

Это идемпотентно и безопасно для многократного запуска.

Устранение неполадок

# Check logssudo journalctl -u openclaw -n 100 # Verify permissionssudo ls -la /opt/openclaw # Test manual startsudo -i -u openclawcd ~/openclawopenclaw gateway run

# Verify Docker is runningsudo systemctl status docker # Check sandbox imagesudo docker images | grep openclaw-sandbox # Build sandbox image if missing (requires source checkout)cd /opt/openclaw/openclawsudo -u openclaw ./scripts/sandbox-setup.sh# For npm installs without a source checkout, see# https://docs.openclaw.ai/gateway/sandboxing#images-and-setup

sudo -i -u openclawopenclaw channels login

Расширенная конфигурация

Подробную архитектуру безопасности и устранение неполадок см. в репозитории openclaw-ansible:

• Архитектура безопасности
• Технические подробности
• Руководство по устранению неполадок

Связанные материалы

• openclaw-ansible -- полное руководство по развертыванию
• Docker -- настройка контейнеризированного Gateway
• Изоляция в песочнице -- конфигурация песочницы агента
• Многоагентная песочница и инструменты -- изоляция для каждого агента