Ansible 安装

推荐通过 openclaw-ansible 将 OpenClaw 部署到生产服务器——这是一个安全优先架构的自动化安装器。

快速开始

一条命令完成安装:

curl -fsSL https://raw.githubusercontent.com/openclaw/openclaw-ansible/main/install.sh | bash

📦 完整指南: github.com/openclaw/openclaw-ansible

openclaw-ansible 仓库是 Ansible 部署的权威文档。本页面是快速概览。

你会得到什么

  • 🔒 防火墙优先安全: UFW + Docker 隔离(仅 SSH + Tailscale 可访问)
  • 🔐 Tailscale VPN: 安全远程访问,无需公开暴露服务
  • 🐳 Docker: 隔离的 Sandbox 容器,仅绑定 localhost
  • 🛡️ 纵深防御: 4 层安全架构
  • 🚀 一键设置: 几分钟内完成部署
  • 🔧 Systemd 集成: 开机自启动并加固

系统要求

  • 操作系统: Debian 11+ 或 Ubuntu 20.04+
  • 访问权限: Root 或 sudo 权限
  • 网络: 需要互联网连接来安装软件包
  • Ansible: 2.14+(快速启动脚本会自动安装)

安装内容

Ansible playbook 会安装和配置:

  1. Tailscale(用于安全远程访问的网状 VPN)
  2. UFW 防火墙(仅开放 SSH + Tailscale 端口)
  3. Docker CE + Compose V2(用于 Agent Sandbox)
  4. Node.js 22.x + pnpm(Runtime 依赖)
  5. OpenClaw(基于主机,非容器化)
  6. Systemd 服务(自动启动并加固)

注意: Gateway 直接运行在主机上(不在 Docker 中),但 Agent Sandbox 使用 Docker 进行隔离。详见 Sandboxing。

安装后设置

安装完成后,切换到 openclaw 用户:

sudo -i -u openclaw

安装后脚本会引导你完成:

  1. 引导向导: 配置 OpenClaw 设置
  2. Provider 登录: 连接 WhatsApp/Telegram/Discord/Signal
  3. Gateway 测试: 验证安装
  4. Tailscale 设置: 连接到你的 VPN 网络

常用命令

# 检查服务状态
sudo systemctl status openclaw

# 查看实时日志
sudo journalctl -u openclaw -f

# 重启 Gateway
sudo systemctl restart openclaw

# Provider 登录(以 openclaw 用户运行)
sudo -i -u openclaw
openclaw channels login

安全架构

4 层防御

  1. 防火墙 (UFW): 仅公开暴露 SSH (22) + Tailscale (41641/udp)
  2. VPN (Tailscale): Gateway 仅通过 VPN 网络访问
  3. Docker 隔离: DOCKER-USER iptables 链防止外部端口暴露
  4. Systemd 加固: NoNewPrivileges、PrivateTmp、非特权用户

验证

测试外部攻击面:

nmap -p- YOUR_SERVER_IP

应该仅显示端口 22 (SSH) 开放。所有其他服务(Gateway、Docker)都已锁定。

Docker 可用性

Docker 用于 Agent Sandbox(隔离的工具执行),而不是用于运行 Gateway 本身。Gateway 仅绑定到 localhost,通过 Tailscale VPN 访问。

详见 Multi-Agent Sandbox & Tools 了解 Sandbox 配置。

手动安装

如果你想手动控制自动化过程:

# 1. 安装前置依赖
sudo apt update && sudo apt install -y ansible git

# 2. 克隆仓库
git clone https://github.com/openclaw/openclaw-ansible.git
cd openclaw-ansible

# 3. 安装 Ansible collections
ansible-galaxy collection install -r requirements.yml

# 4. 运行 playbook
./run-playbook.sh

# 或直接运行(然后手动执行 /tmp/openclaw-setup.sh)
# ansible-playbook playbook.yml --ask-become-pass

更新 OpenClaw

Ansible 安装器会设置 OpenClaw 为手动更新模式。标准更新流程详见 更新。

要重新运行 Ansible playbook(例如修改配置):

cd openclaw-ansible
./run-playbook.sh

注意: 这是幂等的,可以安全地多次运行。

故障排除

防火墙阻止了我的连接

如果你被锁在外面:

  • 确保你可以先通过 Tailscale VPN 访问
  • SSH 访问(端口 22)始终允许
  • Gateway 仅通过 Tailscale 访问,这是设计如此

服务无法启动

# 检查日志
sudo journalctl -u openclaw -n 100

# 验证权限
sudo ls -la /opt/openclaw

# 测试手动启动
sudo -i -u openclaw
cd ~/openclaw
pnpm start

Docker Sandbox 问题

# 验证 Docker 是否运行
sudo systemctl status docker

# 检查 Sandbox 镜像
sudo docker images | grep openclaw-sandbox

# 如果缺少镜像则构建
cd /opt/openclaw/openclaw
sudo -u openclaw ./scripts/sandbox-setup.sh

Provider 登录失败

确保你以 openclaw 用户运行:

sudo -i -u openclaw
openclaw channels login

高级配置

详细的安全架构和故障排除:

相关内容