Ansible

OpenClaw'u güvenlik öncelikli mimariye sahip otomatik bir yükleyici olan openclaw-ansible ile üretim sunucularına dağıtın.

Ön koşullar

Neler elde edersiniz

• Güvenlik duvarı öncelikli güvenlik -- UFW + Docker izolasyonu (yalnızca SSH + Tailscale erişilebilir)
• Tailscale VPN -- hizmetleri herkese açık olarak göstermeden güvenli uzaktan erişim
• Docker -- izole sandbox kapsayıcıları, yalnızca localhost bağlamaları
• Derinlemesine savunma -- 4 katmanlı güvenlik mimarisi
• Systemd entegrasyonu -- sıkılaştırma ile açılışta otomatik başlatma
• Tek komutla kurulum -- dakikalar içinde eksiksiz dağıtım

Hızlı başlangıç

Tek komutla kurulum:

curl -fsSL https://raw.githubusercontent.com/openclaw/openclaw-ansible/main/install.sh | bash

Neler kurulur

Ansible playbook şunları kurar ve yapılandırır:

1. Tailscale -- güvenli uzaktan erişim için mesh VPN
2. UFW güvenlik duvarı -- yalnızca SSH + Tailscale portları
3. Docker CE + Compose V2 -- varsayılan ajan sandbox arka ucu için
4. Node.js 24 + pnpm -- çalışma zamanı bağımlılıkları (Node 22 LTS, şu anda 22.19+, desteklenmeye devam eder)
5. OpenClaw -- ana makine tabanlı, kapsayıcı içinde değil
6. Systemd hizmeti -- güvenlik sıkılaştırmasıyla otomatik başlatma

Kurulum Sonrası Ayarlar

sudo -i -u openclaw

openclaw channels login

sudo systemctl status openclawsudo journalctl -u openclaw -f

Hızlı komutlar

# Hizmet durumunu kontrol etsudo systemctl status openclaw # Canlı günlükleri görüntülesudo journalctl -u openclaw -f # Gateway'i yeniden başlatsudo systemctl restart openclaw # Sağlayıcı oturumu açma (openclaw kullanıcısı olarak çalıştırın)sudo -i -u openclawopenclaw channels login

Güvenlik mimarisi

Dağıtım 4 katmanlı bir savunma modeli kullanır:

1. Güvenlik duvarı (UFW) -- yalnızca SSH (22) + Tailscale (41641/udp) herkese açık olarak sunulur
2. VPN (Tailscale) -- gateway'e yalnızca VPN mesh üzerinden erişilebilir
3. Docker izolasyonu -- DOCKER-USER iptables zinciri harici portların açığa çıkmasını engeller
4. Systemd sıkılaştırması -- NoNewPrivileges, PrivateTmp, ayrıcalıksız kullanıcı

Harici saldırı yüzeyinizi doğrulamak için:

nmap -p- YOUR_SERVER_IP

Yalnızca port 22 (SSH) açık olmalıdır. Diğer tüm hizmetler (gateway, Docker) kilitlenmiştir.

Docker, gateway'in kendisini çalıştırmak için değil, ajan sandbox'ları (izole araç yürütme) için kurulur. Sandbox yapılandırması için Multi-Agent Sandbox and Tools bölümüne bakın.

Manuel kurulum

Otomasyon yerine manuel kontrolü tercih ediyorsanız:

sudo apt update && sudo apt install -y ansible git

git clone https://github.com/openclaw/openclaw-ansible.gitcd openclaw-ansible

ansible-galaxy collection install -r requirements.yml

./run-playbook.sh

ansible-playbook playbook.yml --ask-become-pass# Ardından çalıştırın: /tmp/openclaw-setup.sh

Güncelleme

Ansible yükleyici, OpenClaw'u manuel güncellemeler için hazırlar. Standart güncelleme akışı için Güncelleme bölümüne bakın.

Ansible playbook'u yeniden çalıştırmak için (örneğin, yapılandırma değişiklikleri için):

cd openclaw-ansible./run-playbook.sh

Bu işlem idempotenttir ve birden çok kez güvenle çalıştırılabilir.

Sorun giderme

# Günlükleri kontrol etsudo journalctl -u openclaw -n 100 # İzinleri doğrulasudo ls -la /opt/openclaw # Manuel başlatmayı test etsudo -i -u openclawcd ~/openclawopenclaw gateway run

# Docker'ın çalıştığını doğrulasudo systemctl status docker # Sandbox imajını kontrol etsudo docker images | grep openclaw-sandbox # Eksikse sandbox imajını derle (kaynak checkout gerektirir)cd /opt/openclaw/openclawsudo -u openclaw ./scripts/sandbox-setup.sh# Kaynak checkout olmadan npm kurulumları için bkz.# https://docs.openclaw.ai/gateway/sandboxing#images-and-setup

sudo -i -u openclawopenclaw channels login

Gelişmiş yapılandırma

Ayrıntılı güvenlik mimarisi ve sorun giderme için openclaw-ansible deposuna bakın:

• Güvenlik Mimarisi
• Teknik Ayrıntılar
• Sorun Giderme Kılavuzu

İlgili

• openclaw-ansible -- eksiksiz dağıtım kılavuzu
• Docker -- kapsayıcı içinde Gateway kurulumu
• Sandboxing -- ajan sandbox yapılandırması
• Multi-Agent Sandbox and Tools -- ajan başına izolasyon