Ansible

Implante o OpenClaw em servidores de produção com openclaw-ansible -- um instalador automatizado com arquitetura voltada à segurança.

# Pré-requisitos

# O que você recebe

• Segurança baseada em firewall -- UFW + isolamento do Docker (apenas SSH + Tailscale acessíveis)
• VPN Tailscale -- acesso remoto seguro sem expor serviços publicamente
• Docker -- contêineres de sandbox isolados, vínculos somente no localhost
• Defesa em profundidade -- arquitetura de segurança em 4 camadas
• Integração com Systemd -- inicialização automática no boot com hardening
• Configuração com um comando -- implantação completa em minutos

# Início rápido

Instalação com um comando:

curl -fsSL https://raw.githubusercontent.com/openclaw/openclaw-ansible/main/install.sh | bash

# O que é instalado

O playbook do Ansible instala e configura:

1. Tailscale -- VPN em malha para acesso remoto seguro
2. Firewall UFW -- apenas portas SSH + Tailscale
3. Docker CE + Compose V2 -- para o backend padrão de sandbox de agente
4. Node.js 24 + pnpm -- dependências de runtime (Node 22 LTS, atualmente 22.16+, continua compatível)
5. OpenClaw -- baseado no host, não conteinerizado
6. Serviço Systemd -- inicialização automática com hardening de segurança

# Configuração pós-instalação

sudo -i -u openclaw

openclaw channels login

sudo systemctl status openclaw
sudo journalctl -u openclaw -f

# Comandos rápidos

# Check service status
sudo systemctl status openclaw

# View live logs
sudo journalctl -u openclaw -f

# Restart gateway
sudo systemctl restart openclaw

# Provider login (run as openclaw user)
sudo -i -u openclaw
openclaw channels login

# Arquitetura de segurança

A implantação usa um modelo de defesa em 4 camadas:

1. Firewall (UFW) -- apenas SSH (22) + Tailscale (41641/udp) expostos publicamente
2. VPN (Tailscale) -- Gateway acessível apenas pela malha VPN
3. Isolamento do Docker -- a cadeia iptables DOCKER-USER impede exposição externa de portas
4. Hardening do Systemd -- NoNewPrivileges, PrivateTmp, usuário sem privilégios

Para verificar sua superfície externa de ataque:

nmap -p- YOUR_SERVER_IP

Apenas a porta 22 (SSH) deve estar aberta. Todos os outros serviços (Gateway, Docker) ficam bloqueados.

O Docker é instalado para sandboxes de agentes (execução isolada de ferramentas), não para executar o próprio Gateway. Consulte Sandbox e ferramentas multiagente para configuração de sandbox.

# Instalação manual

Se você preferir controle manual sobre a automação:

sudo apt update && sudo apt install -y ansible git

git clone https://github.com/openclaw/openclaw-ansible.git
cd openclaw-ansible

ansible-galaxy collection install -r requirements.yml

./run-playbook.sh

ansible-playbook playbook.yml --ask-become-pass
# Then run: /tmp/openclaw-setup.sh

# Atualização

O instalador Ansible configura o OpenClaw para atualizações manuais. Consulte Atualização para o fluxo padrão de atualização.

Para executar novamente o playbook do Ansible (por exemplo, para alterações de configuração):

cd openclaw-ansible
./run-playbook.sh

Isso é idempotente e seguro para executar várias vezes.

# Solução de problemas

# Check logs
sudo journalctl -u openclaw -n 100

# Verify permissions
sudo ls -la /opt/openclaw

# Test manual start
sudo -i -u openclaw
cd ~/openclaw
openclaw gateway run

# Verify Docker is running
sudo systemctl status docker

# Check sandbox image
sudo docker images | grep openclaw-sandbox

# Build sandbox image if missing (requires source checkout)
cd /opt/openclaw/openclaw
sudo -u openclaw ./scripts/sandbox-setup.sh
# For npm installs without a source checkout, see
# https://docs.openclaw.ai/gateway/sandboxing#images-and-setup

sudo -i -u openclaw
openclaw channels login

# Configuração avançada

Para arquitetura de segurança detalhada e solução de problemas, consulte o repositório openclaw-ansible:

• Arquitetura de segurança
• Detalhes técnicos
• Guia de solução de problemas

# Relacionados

• openclaw-ansible -- guia completo de implantação
• Docker -- configuração de Gateway conteinerizado
• Sandboxing -- configuração de sandbox de agente
• Sandbox e ferramentas multiagente -- isolamento por agente