Ansible

Implementeer OpenClaw op productieservers met openclaw-ansible -- een geautomatiseerd installatieprogramma met een security-first-architectuur.

# Vereisten

# Wat je krijgt

• Firewall-first-beveiliging -- UFW + Docker-isolatie (alleen SSH + Tailscale toegankelijk)
• Tailscale VPN -- veilige externe toegang zonder services openbaar bloot te stellen
• Docker -- geïsoleerde sandboxcontainers, alleen localhost-bindingen
• Defense in depth -- beveiligingsarchitectuur met 4 lagen
• Systemd-integratie -- automatisch starten bij boot met hardening
• Installatie met één opdracht -- volledige implementatie in enkele minuten

# Quickstart

Installatie met één opdracht:

curl -fsSL https://raw.githubusercontent.com/openclaw/openclaw-ansible/main/install.sh | bash

# Wat wordt geïnstalleerd

Het Ansible-playbook installeert en configureert:

1. Tailscale -- mesh-VPN voor veilige externe toegang
2. UFW-firewall -- alleen SSH- + Tailscale-poorten
3. Docker CE + Compose V2 -- voor de standaard agentsandbox-backend
4. Node.js 24 + pnpm -- runtime-afhankelijkheden (Node 22 LTS, momenteel 22.16+, blijft ondersteund)
5. OpenClaw -- hostgebaseerd, niet gecontaineriseerd
6. Systemd-service -- automatisch starten met security hardening

# Setup na installatie

sudo -i -u openclaw

openclaw channels login

sudo systemctl status openclaw
sudo journalctl -u openclaw -f

# Snelle opdrachten

# Check service status
sudo systemctl status openclaw

# View live logs
sudo journalctl -u openclaw -f

# Restart gateway
sudo systemctl restart openclaw

# Provider login (run as openclaw user)
sudo -i -u openclaw
openclaw channels login

# Beveiligingsarchitectuur

De implementatie gebruikt een verdedigingsmodel met 4 lagen:

1. Firewall (UFW) -- alleen SSH (22) + Tailscale (41641/udp) openbaar blootgesteld
2. VPN (Tailscale) -- Gateway alleen toegankelijk via VPN-mesh
3. Docker-isolatie -- DOCKER-USER iptables-chain voorkomt externe poortblootstelling
4. Systemd-hardening -- NoNewPrivileges, PrivateTmp, gebruiker zonder privileges

Om je externe aanvalsvlak te controleren:

nmap -p- YOUR_SERVER_IP

Alleen poort 22 (SSH) zou open moeten zijn. Alle andere services (Gateway, Docker) zijn vergrendeld.

Docker wordt geïnstalleerd voor agentsandboxes (geïsoleerde tooluitvoering), niet om de Gateway zelf te draaien. Zie Multi-Agent Sandbox and Tools voor sandboxconfiguratie.

# Handmatige installatie

Als je liever handmatige controle hebt over de automatisering:

sudo apt update && sudo apt install -y ansible git

git clone https://github.com/openclaw/openclaw-ansible.git
cd openclaw-ansible

ansible-galaxy collection install -r requirements.yml

./run-playbook.sh

ansible-playbook playbook.yml --ask-become-pass
# Then run: /tmp/openclaw-setup.sh

# Bijwerken

Het Ansible-installatieprogramma stelt OpenClaw in voor handmatige updates. Zie Bijwerken voor de standaard updateflow.

Om het Ansible-playbook opnieuw uit te voeren (bijvoorbeeld voor configuratiewijzigingen):

cd openclaw-ansible
./run-playbook.sh

Dit is idempotent en veilig om meerdere keren uit te voeren.

# Probleemoplossing

# Check logs
sudo journalctl -u openclaw -n 100

# Verify permissions
sudo ls -la /opt/openclaw

# Test manual start
sudo -i -u openclaw
cd ~/openclaw
openclaw gateway run

# Verify Docker is running
sudo systemctl status docker

# Check sandbox image
sudo docker images | grep openclaw-sandbox

# Build sandbox image if missing (requires source checkout)
cd /opt/openclaw/openclaw
sudo -u openclaw ./scripts/sandbox-setup.sh
# For npm installs without a source checkout, see
# https://docs.openclaw.ai/gateway/sandboxing#images-and-setup

sudo -i -u openclaw
openclaw channels login

# Geavanceerde configuratie

Zie de openclaw-ansible-repo voor gedetailleerde beveiligingsarchitectuur en probleemoplossing:

• Beveiligingsarchitectuur
• Technische details
• Gids voor probleemoplossing

# Gerelateerd

• openclaw-ansible -- volledige implementatiegids
• Docker -- setup voor gecontaineriseerde Gateway
• Sandboxing -- agentsandboxconfiguratie
• Multi-Agent Sandbox and Tools -- isolatie per agent