Ansible

Triển khai OpenClaw lên các máy chủ sản xuất bằng openclaw-ansible, một trình cài đặt tự động có kiến trúc ưu tiên bảo mật.

Điều kiện tiên quyết

Những gì bạn nhận được

• Bảo mật ưu tiên tường lửa: UFW + cô lập Docker (chỉ có thể truy cập SSH + Tailscale)
• VPN Tailscale để truy cập từ xa mà không công khai các dịch vụ
• Docker dành cho các container sandbox cô lập với liên kết chỉ dành cho localhost
• Tích hợp systemd với cơ chế tăng cường bảo mật, tự động khởi động khi hệ thống khởi động
• Thiết lập bằng một lệnh

Bắt đầu nhanh

curl -fsSL https://raw.githubusercontent.com/openclaw/openclaw-ansible/main/install.sh | bash

Những thành phần được cài đặt

1. Tailscale (VPN dạng lưới để truy cập từ xa an toàn)
2. Tường lửa UFW (chỉ các cổng SSH + Tailscale)
3. Docker CE + Compose V2 (phần phụ trợ sandbox mặc định của tác tử)
4. Node.js và pnpm (OpenClaw yêu cầu Node 22.22.3+, 24.15+ hoặc 25.9+; khuyến nghị Node 24)
5. OpenClaw, được cài đặt trực tiếp trên máy chủ, không được container hóa
6. Một dịch vụ systemd có cơ chế tăng cường bảo mật

Thiết lập sau khi cài đặt

sudo -i -u openclaw

openclaw channels login --channel <name>

sudo systemctl status openclawsudo journalctl -u openclaw -f

Các lệnh nhanh

# Kiểm tra trạng thái dịch vụsudo systemctl status openclaw # Xem nhật ký trực tiếpsudo journalctl -u openclaw -f # Khởi động lại Gatewaysudo systemctl restart openclaw # Đăng nhập kênh (chạy với tư cách người dùng openclaw)sudo -i -u openclawopenclaw channels login --channel <name>

Kiến trúc bảo mật

Mô hình phòng thủ bốn lớp:

1. Tường lửa (UFW): chỉ công khai SSH (22) và Tailscale (41641/udp)
2. VPN (Tailscale): chỉ có thể truy cập Gateway qua mạng lưới VPN
3. Cô lập Docker: chuỗi iptables DOCKER-USER ngăn các cổng bị công khai ra bên ngoài
4. Tăng cường bảo mật systemd: NoNewPrivileges, PrivateTmp, người dùng không có đặc quyền

Xác minh bề mặt tấn công bên ngoài của bạn:

nmap -p- YOUR_SERVER_IP

Chỉ cổng 22 (SSH) được phép mở. Gateway và Docker vẫn được khóa chặt.

Docker được cài đặt cho các sandbox của tác tử (thực thi công cụ một cách cô lập), không phải để chạy Gateway. Xem Sandbox và công cụ đa tác tử để biết cách cấu hình sandbox.

Cài đặt thủ công

sudo apt update && sudo apt install -y ansible git

git clone https://github.com/openclaw/openclaw-ansible.gitcd openclaw-ansible

ansible-galaxy collection install -r requirements.yml

./run-playbook.sh

ansible-playbook playbook.yml --ask-become-pass# Sau đó chạy: /tmp/openclaw-setup.sh

Cập nhật

Trình cài đặt Ansible thiết lập OpenClaw để cập nhật thủ công; xem Cập nhật để biết quy trình tiêu chuẩn.

Để chạy lại playbook (ví dụ: sau khi thay đổi cấu hình):

cd openclaw-ansible./run-playbook.sh

Thao tác này có tính lũy đẳng và có thể chạy nhiều lần một cách an toàn.

Khắc phục sự cố

# Kiểm tra nhật kýsudo journalctl -u openclaw -n 100 # Xác minh quyềnsudo ls -la /opt/openclaw # Kiểm thử khởi động thủ côngsudo -i -u openclawcd ~/openclawopenclaw gateway run

# Xác minh Docker đang chạysudo systemctl status docker # Kiểm tra ảnh sandboxsudo docker images | grep openclaw-sandbox # Tạo ảnh sandbox nếu còn thiếu (yêu cầu bản sao mã nguồn)cd /opt/openclaw/openclawsudo -u openclaw ./scripts/sandbox-setup.sh# Đối với bản cài đặt npm không có bản sao mã nguồn, xem# https://docs.openclaw.ai/gateway/sandboxing#images-and-setup

sudo -i -u openclawopenclaw channels login --channel <name>

Cấu hình nâng cao

Để biết chi tiết về kiến trúc bảo mật và cách khắc phục sự cố, hãy xem kho lưu trữ openclaw-ansible:

• Kiến trúc bảo mật
• Chi tiết kỹ thuật
• Hướng dẫn khắc phục sự cố

Liên quan

• openclaw-ansible: hướng dẫn triển khai đầy đủ
• Docker: thiết lập Gateway được container hóa
• Sandbox: cấu hình sandbox của tác tử
• Sandbox và công cụ đa tác tử: cô lập theo từng tác tử