Ansible

Розгорніть OpenClaw на робочих серверах за допомогою openclaw-ansible — автоматизованого інсталятора з архітектурою, орієнтованою насамперед на безпеку.

Передумови

Що ви отримуєте

• Безпека насамперед на рівні брандмауера: ізоляція UFW + Docker (доступні лише SSH + Tailscale)
• VPN Tailscale для віддаленого доступу без публічного відкриття служб
• Docker для ізольованих контейнерів пісочниці з прив’язками лише до localhost
• Інтеграція із systemd із посиленим захистом і автоматичним запуском під час завантаження
• Налаштування однією командою

Швидкий старт

curl -fsSL https://raw.githubusercontent.com/openclaw/openclaw-ansible/main/install.sh | bash

Що встановлюється

1. Tailscale (коміркова VPN для безпечного віддаленого доступу)
2. Брандмауер UFW (лише порти SSH + Tailscale)
3. Docker CE + Compose V2 (стандартний серверний компонент пісочниці агента)
4. Node.js і pnpm (для OpenClaw потрібен Node 22.22.3+, 24.15+ або 25.9+; рекомендовано Node 24)
5. OpenClaw, установлений безпосередньо на хості, а не в контейнері
6. Служба systemd із посиленим захистом

Налаштування після встановлення

sudo -i -u openclaw

openclaw channels login --channel <name>

sudo systemctl status openclawsudo journalctl -u openclaw -f

Швидкі команди

# Перевірити стан службиsudo systemctl status openclaw # Переглянути журнали в реальному часіsudo journalctl -u openclaw -f # Перезапустити Gatewaysudo systemctl restart openclaw # Увійти в канал (виконувати від імені користувача openclaw)sudo -i -u openclawopenclaw channels login --channel <name>

Архітектура безпеки

Чотирирівнева модель захисту:

1. Брандмауер (UFW): публічно відкриті лише SSH (22) і Tailscale (41641/udp)
2. VPN (Tailscale): Gateway доступний лише через коміркову VPN
3. Ізоляція Docker: ланцюжок iptables DOCKER-USER запобігає зовнішньому відкриттю портів
4. Посилення захисту systemd: NoNewPrivileges, PrivateTmp, непривілейований користувач

Перевірте свою зовнішню поверхню атаки:

nmap -p- YOUR_SERVER_IP

Відкритим має бути лише порт 22 (SSH). Gateway і Docker залишаються захищеними від зовнішнього доступу.

Docker установлюється для пісочниць агентів (ізольованого виконання інструментів), а не для запуску Gateway. Налаштування пісочниці див. у розділі Багатоагентна пісочниця та інструменти.

Встановлення вручну

sudo apt update && sudo apt install -y ansible git

git clone https://github.com/openclaw/openclaw-ansible.gitcd openclaw-ansible

ansible-galaxy collection install -r requirements.yml

./run-playbook.sh

ansible-playbook playbook.yml --ask-become-pass# Потім виконайте: /tmp/openclaw-setup.sh

Оновлення

Інсталятор Ansible налаштовує OpenClaw для оновлення вручну; стандартний процес описано в розділі Оновлення.

Щоб повторно запустити плейбук (наприклад, після змін конфігурації):

cd openclaw-ansible./run-playbook.sh

Ця операція ідемпотентна, тому її можна безпечно виконувати багаторазово.

Усунення несправностей

# Перевірити журналиsudo journalctl -u openclaw -n 100 # Перевірити дозволиsudo ls -la /opt/openclaw # Перевірити запуск вручнуsudo -i -u openclawcd ~/openclawopenclaw gateway run

# Перевірити, чи працює Dockersudo systemctl status docker # Перевірити образ пісочниціsudo docker images | grep openclaw-sandbox # Створити образ пісочниці, якщо він відсутній (потрібна робоча копія вихідного коду)cd /opt/openclaw/openclawsudo -u openclaw ./scripts/sandbox-setup.sh# Для встановлень npm без робочої копії вихідного коду див.# https://docs.openclaw.ai/gateway/sandboxing#images-and-setup

sudo -i -u openclawopenclaw channels login --channel <name>

Розширена конфігурація

Докладний опис архітектури безпеки та усунення несправностей див. у репозиторії openclaw-ansible:

• Архітектура безпеки
• Технічні відомості
• Посібник з усунення несправностей

Пов’язані матеріали

• openclaw-ansible: повний посібник із розгортання
• Docker: налаштування контейнеризованого Gateway
• Пісочниця: конфігурація пісочниці агента
• Багатоагентна пісочниця та інструменти: ізоляція для кожного агента