Hetzner

VPS をプロビジョニングする

Hetzner で Ubuntu または Debian の VPS を作成します。

root として接続します:

ssh root@YOUR_VPS_IP

このガイドでは、VPS が状態を保持することを前提としています。 使い捨てインフラとして扱わないでください。

Docker をインストールする（VPS 上）

apt-get update
apt-get install -y git curl ca-certificates
curl -fsSL https://get.docker.com | sh

確認します:

docker --version
docker compose version

OpenClaw リポジトリをクローンする

git clone https://github.com/openclaw/openclaw.git
cd openclaw

このガイドでは、バイナリの永続性を保証するためにカスタムイメージをビルドすることを前提としています。

永続的なホストディレクトリを作成する

Docker コンテナは一時的です。 長期間保持するすべての状態はホスト上に置く必要があります。

mkdir -p /root/.openclaw/workspace

# Set ownership to the container user (uid 1000):
chown -R 1000:1000 /root/.openclaw

環境変数を設定する

リポジトリルートに .env を作成します。

OPENCLAW_IMAGE=openclaw:latest
OPENCLAW_GATEWAY_TOKEN=
OPENCLAW_GATEWAY_BIND=lan
OPENCLAW_GATEWAY_PORT=18789

OPENCLAW_CONFIG_DIR=/root/.openclaw
OPENCLAW_WORKSPACE_DIR=/root/.openclaw/workspace

GOG_KEYRING_PASSWORD=
XDG_CONFIG_HOME=/home/node/.openclaw

安定した gateway トークンを .env で管理したい場合は OPENCLAW_GATEWAY_TOKEN を設定します。それ以外の場合は、再起動をまたいでクライアントに依存する前に gateway.auth.token を設定してください。どちらのソースも存在しない場合、OpenClaw はその起動時だけ有効なランタイム専用トークンを使用します。キーリングパスワードを生成し、GOG_KEYRING_PASSWORD に貼り付けます:

openssl rand -hex 32

このファイルをコミットしないでください。

この .env ファイルは、OPENCLAW_GATEWAY_TOKEN などのコンテナ/ランタイム環境変数用です。 保存されたプロバイダーの OAuth/API キー認証は、マウントされた ~/.openclaw/agents/<agentId>/agent/auth-profiles.json にあります。

Docker Compose 設定

docker-compose.yml を作成または更新します。

services:
  openclaw-gateway:
    image: ${OPENCLAW_IMAGE}
    build: .
    restart: unless-stopped
    env_file:
      - .env
    environment:
      - HOME=/home/node
      - NODE_ENV=production
      - TERM=xterm-256color
      - OPENCLAW_GATEWAY_BIND=${OPENCLAW_GATEWAY_BIND}
      - OPENCLAW_GATEWAY_PORT=${OPENCLAW_GATEWAY_PORT}
      - OPENCLAW_GATEWAY_TOKEN=${OPENCLAW_GATEWAY_TOKEN}
      - GOG_KEYRING_PASSWORD=${GOG_KEYRING_PASSWORD}
      - XDG_CONFIG_HOME=${XDG_CONFIG_HOME}
      - PATH=/home/linuxbrew/.linuxbrew/bin:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
    volumes:
      - ${OPENCLAW_CONFIG_DIR}:/home/node/.openclaw
      - ${OPENCLAW_WORKSPACE_DIR}:/home/node/.openclaw/workspace
    ports:
      # Recommended: keep the Gateway loopback-only on the VPS; access via SSH tunnel.
      # To expose it publicly, remove the `127.0.0.1:` prefix and firewall accordingly.
      - "127.0.0.1:${OPENCLAW_GATEWAY_PORT}:18789"
    command:
      [
        "node",
        "dist/index.js",
        "gateway",
        "--bind",
        "${OPENCLAW_GATEWAY_BIND}",
        "--port",
        "${OPENCLAW_GATEWAY_PORT}",
        "--allow-unconfigured",
      ]

--allow-unconfigured はブートストラップの利便性のためだけのもので、適切な gateway 設定の代替ではありません。デプロイ環境では、引き続き認証（gateway.auth.token またはパスワード）を設定し、安全なバインド設定を使用してください。

共有 Docker VM ランタイム手順

一般的な Docker ホストフローには、共有ランタイムガイドを使用してください:

• 必要なバイナリをイメージに組み込む
• ビルドして起動する
• 何がどこに永続化されるか
• 更新

Hetzner 固有のアクセス

共有のビルドおよび起動手順の後、トンネルを開くために次のセットアップを完了します:

前提条件: VPS の sshd 設定で TCP フォワーディングが許可されていることを確認してください。SSH 設定を強化している場合は、/etc/ssh/sshd_config を確認し、次のように設定します:

AllowTcpForwarding local

local は、サーバーからのリモートフォワードをブロックしつつ、ラップトップからの ssh -L ローカルフォワードを許可します。no に設定すると、トンネルは次のエラーで失敗します: channel 3: open failed: administratively prohibited: open failed

TCP フォワーディングが有効であることを確認したら、SSH サービスを再起動し （systemctl restart ssh）、ラップトップからトンネルを実行します:

ssh -N -L 18789:127.0.0.1:18789 root@YOUR_VPS_IP

開きます:

http://127.0.0.1:18789/

設定済みの共有シークレットを貼り付けます。このガイドではデフォルトで gateway トークンを使用します。パスワード認証に切り替えた場合は、代わりにそのパスワードを使用してください。