在 Oracle Cloud (OCI) 上运行 OpenClaw

目标

在 Oracle Cloud 的 Always Free ARM 套餐上运行持久化的 OpenClaw Gateway。

Oracle 的免费套餐很适合运行 OpenClaw（特别是如果你已经有 OCI 账号），但也有一些权衡：

ARM 架构（大多数东西都能用，但有些二进制文件可能只支持 x86）
容量和注册可能比较麻烦

价格对比（2026）

服务商	套餐	配置	价格/月	备注
Oracle Cloud	Always Free ARM	最高 4 OCPU，24GB 内存	$0	ARM 架构，容量有限
Hetzner	CX22	2 vCPU，4GB 内存	~ $4	最便宜的付费选项
DigitalOcean	Basic	1 vCPU，1GB 内存	$6	界面友好，文档完善
Vultr	Cloud Compute	1 vCPU，1GB 内存	$6	节点位置多
Linode	Nanode	1 vCPU，1GB 内存	$5	现在是 Akamai 的一部分

准备工作

Oracle Cloud 账号（注册）— 如果遇到问题，可以参考社区注册指南
Tailscale 账号（在 tailscale.com 免费注册）
大约 30 分钟

1) 创建 OCI 实例

登录 Oracle Cloud Console
进入 Compute → Instances → Create Instance
配置：
- Name: openclaw
- Image: Ubuntu 24.04 (aarch64)
- Shape: VM.Standard.A1.Flex (Ampere ARM)
- OCPUs: 2（或最高 4）
- Memory: 12 GB（或最高 24 GB）
- Boot volume: 50 GB（最高 200 GB 免费）
- SSH key: 添加你的公钥
点击 Create
记下公网 IP 地址

提示： 如果实例创建失败，提示 “Out of capacity”（容量不足），试试换个可用域（availability domain）或稍后重试。免费套餐的容量有限。

2) 连接并更新系统

# 通过公网 IP 连接
ssh ubuntu@YOUR_PUBLIC_IP

# 更新系统
sudo apt update && sudo apt upgrade -y
sudo apt install -y build-essential

注意： build-essential 是编译某些 ARM 依赖所必需的。

3) 配置用户和主机名

# 设置主机名
sudo hostnamectl set-hostname openclaw

# 为 ubuntu 用户设置密码
sudo passwd ubuntu

# 启用 lingering（让用户服务在登出后继续运行）
sudo loginctl enable-linger ubuntu

4) 安装 Tailscale

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up --ssh --hostname=openclaw

这会启用 Tailscale SSH，这样你就可以从 tailnet 上的任何设备通过 ssh openclaw 连接 — 不需要公网 IP。

验证：

tailscale status

从现在开始，通过 Tailscale 连接： ssh ubuntu@openclaw（或使用 Tailscale IP）。

5) 安装 OpenClaw

curl -fsSL https://openclaw.ai/install.sh | bash
source ~/.bashrc

当提示 “How do you want to hatch your bot?”（你想怎么孵化你的机器人？）时，选择 “Do this later”（稍后再做）。

注意：如果遇到 ARM 原生构建问题，先安装系统包（比如 sudo apt install -y build-essential），再考虑用 Homebrew。

6) 配置 Gateway（loopback + token 认证）并启用 Tailscale Serve

默认使用 token 认证。这种方式可预测，而且不需要在 Control UI 中设置任何”不安全认证”标志。

# 让 Gateway 在虚拟机上保持私有
openclaw config set gateway.bind loopback

# 为 Gateway + Control UI 启用认证
openclaw config set gateway.auth.mode token
openclaw doctor --generate-gateway-token

# 通过 Tailscale Serve 暴露（HTTPS + tailnet 访问）
openclaw config set gateway.tailscale.mode serve
openclaw config set gateway.trustedProxies '["127.0.0.1"]'

systemctl --user restart openclaw-gateway

7) 验证

# 检查版本
openclaw --version

# 检查守护进程状态
systemctl --user status openclaw-gateway

# 检查 Tailscale Serve
tailscale serve status

# 测试本地响应
curl http://localhost:18789

8) 锁定 VCN 安全设置

现在一切正常了，锁定 VCN 以阻止除 Tailscale 之外的所有流量。OCI 的虚拟云网络（Virtual Cloud Network）在网络边缘充当防火墙 — 流量在到达你的实例之前就被阻止了。

在 OCI Console 中进入 Networking → Virtual Cloud Networks
点击你的 VCN → Security Lists → Default Security List
删除所有入站规则，只保留：
- 0.0.0.0/0 UDP 41641（Tailscale）
保留默认的出站规则（允许所有出站流量）

这会在网络边缘阻止 22 端口的 SSH、HTTP、HTTPS 以及其他所有流量。从现在开始，你只能通过 Tailscale 连接。

访问 Control UI

从 Tailscale 网络上的任何设备：

https://openclaw.<tailnet-name>.ts.net/

把 <tailnet-name> 替换成你的 tailnet 名称（在 tailscale status 中可以看到）。

不需要 SSH 隧道。Tailscale 提供：

HTTPS 加密（自动证书）
通过 Tailscale 身份认证
从 tailnet 上的任何设备访问（笔记本、手机等）

安全：VCN + Tailscale（推荐的基准配置）

锁定 VCN（只开放 UDP 41641）并将 Gateway 绑定到 loopback 后，你就获得了强大的纵深防御：公网流量在网络边缘被阻止，管理访问通过你的 tailnet 进行。

这种设置通常消除了仅为阻止全网 SSH 暴力破解而设置额外主机防火墙规则的_需求_ — 但你仍应保持操作系统更新，运行 openclaw security audit，并验证你没有意外监听公网接口。

已经受保护的内容

传统步骤	是否需要？	原因
UFW 防火墙	否	VCN 在流量到达实例前就阻止了
fail2ban	否	如果 22 端口在 VCN 被阻止，就没有暴力破解
sshd 加固	否	Tailscale SSH 不使用 sshd
禁用 root 登录	否	Tailscale 使用 Tailscale 身份，不是系统用户
仅 SSH 密钥认证	否	Tailscale 通过你的 tailnet 认证
IPv6 加固	通常不需要	取决于你的 VCN/子网设置；验证实际分配/暴露的内容

仍然推荐

凭证权限： chmod 700 ~/.openclaw
安全审计： openclaw security audit
系统更新： 定期运行 sudo apt update && sudo apt upgrade
监控 Tailscale： 在 Tailscale 管理控制台中查看设备

验证安全状态

# 确认没有公网端口在监听
sudo ss -tlnp | grep -v '127.0.0.1\|::1'

# 验证 Tailscale SSH 已激活
tailscale status | grep -q 'offers: ssh' && echo "Tailscale SSH active"

# 可选：完全禁用 sshd
sudo systemctl disable --now ssh

备用方案：SSH 隧道

如果 Tailscale Serve 不工作，使用 SSH 隧道：

# 从你的本地机器（通过 Tailscale）
ssh -L 18789:127.0.0.1:18789 ubuntu@openclaw

然后打开 http://localhost:18789。

故障排除

实例创建失败（“Out of capacity”）

免费套餐的 ARM 实例很抢手。试试：

换个可用域
在非高峰时段重试（清晨）
选择 shape 时使用 “Always Free” 筛选器

Tailscale 无法连接

# 检查状态
sudo tailscale status

# 重新认证
sudo tailscale up --ssh --hostname=openclaw --reset

Gateway 无法启动

openclaw gateway status
openclaw doctor --non-interactive
journalctl --user -u openclaw-gateway -n 50

无法访问 Control UI

# 验证 Tailscale Serve 正在运行
tailscale serve status

# 检查 gateway 是否在监听
curl http://localhost:18789

# 如果需要，重启
systemctl --user restart openclaw-gateway

ARM 二进制文件问题

有些工具可能没有 ARM 构建版本。检查：

uname -m  # 应该显示 aarch64

大多数 npm 包都能正常工作。对于二进制文件，寻找 linux-arm64 或 aarch64 版本。

持久化

所有状态保存在：

~/.openclaw/ — 配置、凭证、会话数据
~/.openclaw/workspace/ — workspace（SOUL.md、记忆、工件）

定期备份：

tar -czvf openclaw-backup.tar.gz ~/.openclaw ~/.openclaw/workspace