Hetzner

Cấp phát VPS

Tạo một VPS Ubuntu hoặc Debian trong Hetzner.

Kết nối bằng root:

ssh root@YOUR_VPS_IP

Hướng dẫn này giả định VPS có trạng thái bền vững. Đừng coi nó là hạ tầng dùng một lần.

Cài đặt Docker (trên VPS)

apt-get update
apt-get install -y git curl ca-certificates
curl -fsSL https://get.docker.com | sh

Xác minh:

docker --version
docker compose version

Sao chép kho lưu trữ OpenClaw

git clone https://github.com/openclaw/openclaw.git
cd openclaw

Hướng dẫn này giả định bạn sẽ build một image tùy chỉnh để đảm bảo binary được duy trì.

Tạo thư mục máy chủ bền vững

Container Docker là tạm thời. Mọi trạng thái dài hạn phải nằm trên máy chủ.

mkdir -p /root/.openclaw/workspace

# Set ownership to the container user (uid 1000):
chown -R 1000:1000 /root/.openclaw

Cấu hình biến môi trường

Tạo .env trong thư mục gốc của kho lưu trữ.

OPENCLAW_IMAGE=openclaw:latest
OPENCLAW_GATEWAY_TOKEN=
OPENCLAW_GATEWAY_BIND=lan
OPENCLAW_GATEWAY_PORT=18789

OPENCLAW_CONFIG_DIR=/root/.openclaw
OPENCLAW_WORKSPACE_DIR=/root/.openclaw/workspace

GOG_KEYRING_PASSWORD=
XDG_CONFIG_HOME=/home/node/.openclaw

Đặt OPENCLAW_GATEWAY_TOKEN khi bạn muốn quản lý token gateway ổn định thông qua .env; nếu không, hãy cấu hình gateway.auth.token trước khi dựa vào client qua các lần khởi động lại. Nếu không có nguồn nào tồn tại, OpenClaw sử dụng token chỉ dành cho runtime trong lần khởi động đó. Tạo mật khẩu keyring và dán vào GOG_KEYRING_PASSWORD:

openssl rand -hex 32

Không commit tệp này.

Tệp .env này dành cho env của container/runtime như OPENCLAW_GATEWAY_TOKEN. Xác thực OAuth/API-key của provider đã lưu nằm trong ~/.openclaw/agents/<agentId>/agent/auth-profiles.json được mount.

Cấu hình Docker Compose

Tạo hoặc cập nhật docker-compose.yml.

services:
  openclaw-gateway:
    image: ${OPENCLAW_IMAGE}
    build: .
    restart: unless-stopped
    env_file:
      - .env
    environment:
      - HOME=/home/node
      - NODE_ENV=production
      - TERM=xterm-256color
      - OPENCLAW_GATEWAY_BIND=${OPENCLAW_GATEWAY_BIND}
      - OPENCLAW_GATEWAY_PORT=${OPENCLAW_GATEWAY_PORT}
      - OPENCLAW_GATEWAY_TOKEN=${OPENCLAW_GATEWAY_TOKEN}
      - GOG_KEYRING_PASSWORD=${GOG_KEYRING_PASSWORD}
      - XDG_CONFIG_HOME=${XDG_CONFIG_HOME}
      - PATH=/home/linuxbrew/.linuxbrew/bin:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
    volumes:
      - ${OPENCLAW_CONFIG_DIR}:/home/node/.openclaw
      - ${OPENCLAW_WORKSPACE_DIR}:/home/node/.openclaw/workspace
    ports:
      # Recommended: keep the Gateway loopback-only on the VPS; access via SSH tunnel.
      # To expose it publicly, remove the `127.0.0.1:` prefix and firewall accordingly.
      - "127.0.0.1:${OPENCLAW_GATEWAY_PORT}:18789"
    command:
      [
        "node",
        "dist/index.js",
        "gateway",
        "--bind",
        "${OPENCLAW_GATEWAY_BIND}",
        "--port",
        "${OPENCLAW_GATEWAY_PORT}",
        "--allow-unconfigured",
      ]

--allow-unconfigured chỉ nhằm tiện bootstrap, không phải là thay thế cho cấu hình gateway đúng cách. Vẫn hãy đặt xác thực (gateway.auth.token hoặc mật khẩu) và dùng thiết lập bind an toàn cho triển khai của bạn.

Các bước runtime Docker VM dùng chung

Dùng hướng dẫn runtime dùng chung cho quy trình máy chủ Docker phổ biến:

• Tích hợp các binary bắt buộc vào image
• Build và khởi chạy
• Những gì được duy trì ở đâu
• Cập nhật

Truy cập riêng cho Hetzner

Sau các bước build và khởi chạy dùng chung, hoàn tất thiết lập sau để mở đường hầm:

Điều kiện tiên quyết: Đảm bảo cấu hình sshd của VPS cho phép chuyển tiếp TCP. Nếu bạn đã siết chặt cấu hình SSH, hãy kiểm tra /etc/ssh/sshd_config và đặt:

AllowTcpForwarding local

local cho phép chuyển tiếp cục bộ ssh -L từ laptop của bạn trong khi chặn chuyển tiếp từ xa từ máy chủ. Đặt thành no sẽ làm đường hầm thất bại với: channel 3: open failed: administratively prohibited: open failed

Sau khi xác nhận chuyển tiếp TCP đã được bật, khởi động lại dịch vụ SSH (systemctl restart ssh) và chạy đường hầm từ laptop của bạn:

ssh -N -L 18789:127.0.0.1:18789 root@YOUR_VPS_IP

Mở:

http://127.0.0.1:18789/

Dán shared secret đã cấu hình. Hướng dẫn này dùng token gateway theo mặc định; nếu bạn đã chuyển sang xác thực bằng mật khẩu, hãy dùng mật khẩu đó.