GCP

安装 gcloud CLI（或使用 Console）

选项 A：gcloud CLI（推荐用于自动化）

从 https://cloud.google.com/sdk/docs/install 安装

初始化并认证：

gcloud init
gcloud auth login

选项 B：Cloud Console

所有步骤都可以通过 https://console.cloud.google.com 的网页 UI 完成

创建 GCP 项目

CLI：

gcloud projects create my-openclaw-project --name="OpenClaw Gateway"
gcloud config set project my-openclaw-project

在 https://console.cloud.google.com/billing 启用结算（Compute Engine 必需）。

启用 Compute Engine API：

gcloud services enable compute.googleapis.com

Console：

1. 前往 IAM & Admin > Create Project
2. 命名并创建
3. 为项目启用结算
4. 导航到 APIs & Services > Enable APIs > 搜索 “Compute Engine API” > Enable

创建 VM

机器类型：

CLI：

gcloud compute instances create openclaw-gateway \
  --zone=us-central1-a \
  --machine-type=e2-small \
  --boot-disk-size=20GB \
  --image-family=debian-12 \
  --image-project=debian-cloud

Console：

1. 前往 Compute Engine > VM instances > Create instance
2. 名称：openclaw-gateway
3. 区域：us-central1，可用区：us-central1-a
4. 机器类型：e2-small
5. 启动磁盘：Debian 12，20GB
6. 创建

SSH 进入 VM

CLI：

gcloud compute ssh openclaw-gateway --zone=us-central1-a

Console：

在 Compute Engine 控制台中点击你的 VM 旁边的 “SSH” 按钮。

注意：创建 VM 后，SSH 密钥传播可能需要 1-2 分钟。如果连接被拒绝，请等待后重试。

安装 Docker（在 VM 上）

sudo apt-get update
sudo apt-get install -y git curl ca-certificates
curl -fsSL https://get.docker.com | sudo sh
sudo usermod -aG docker $USER

退出并重新登录，使组变更生效：

exit

然后重新 SSH 进入：

gcloud compute ssh openclaw-gateway --zone=us-central1-a

验证：

docker --version
docker compose version

克隆 OpenClaw 仓库

git clone https://github.com/openclaw/openclaw.git
cd openclaw

本指南假设你将构建自定义镜像，以保证二进制文件持久存在。

创建持久化主机目录

Docker 容器是临时的。 所有长期状态都必须保存在主机上。

mkdir -p ~/.openclaw
mkdir -p ~/.openclaw/workspace

配置环境变量

在仓库根目录创建 .env。

OPENCLAW_IMAGE=openclaw:latest
OPENCLAW_GATEWAY_TOKEN=
OPENCLAW_GATEWAY_BIND=lan
OPENCLAW_GATEWAY_PORT=18789

OPENCLAW_CONFIG_DIR=/home/$USER/.openclaw
OPENCLAW_WORKSPACE_DIR=/home/$USER/.openclaw/workspace

GOG_KEYRING_PASSWORD=
XDG_CONFIG_HOME=/home/node/.openclaw

如果你想通过 .env 管理稳定的网关令牌，请设置 OPENCLAW_GATEWAY_TOKEN； 否则请在依赖客户端跨重启连接之前配置 gateway.auth.token。 如果两个来源都不存在，OpenClaw 会为该次启动使用仅运行时有效的令牌。 生成一个 keyring 密码并粘贴到 GOG_KEYRING_PASSWORD：

openssl rand -hex 32

不要提交此文件。

此 .env 文件用于容器/运行时环境变量，例如 OPENCLAW_GATEWAY_TOKEN。 已存储的提供商 OAuth/API key 认证位于挂载的 ~/.openclaw/agents/<agentId>/agent/auth-profiles.json。

Docker Compose 配置

创建或更新 docker-compose.yml。

services:
  openclaw-gateway:
    image: ${OPENCLAW_IMAGE}
    build: .
    restart: unless-stopped
    env_file:
      - .env
    environment:
      - HOME=/home/node
      - NODE_ENV=production
      - TERM=xterm-256color
      - OPENCLAW_GATEWAY_BIND=${OPENCLAW_GATEWAY_BIND}
      - OPENCLAW_GATEWAY_PORT=${OPENCLAW_GATEWAY_PORT}
      - OPENCLAW_GATEWAY_TOKEN=${OPENCLAW_GATEWAY_TOKEN}
      - GOG_KEYRING_PASSWORD=${GOG_KEYRING_PASSWORD}
      - XDG_CONFIG_HOME=${XDG_CONFIG_HOME}
      - PATH=/home/linuxbrew/.linuxbrew/bin:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
    volumes:
      - ${OPENCLAW_CONFIG_DIR}:/home/node/.openclaw
      - ${OPENCLAW_WORKSPACE_DIR}:/home/node/.openclaw/workspace
    ports:
      # 推荐：让 Gateway 网关在 VM 上仅监听 loopback；通过 SSH 隧道访问。
      # 如需公开暴露，请移除 `127.0.0.1:` 前缀并相应配置防火墙。
      - "127.0.0.1:${OPENCLAW_GATEWAY_PORT}:18789"
    command:
      [
        "node",
        "dist/index.js",
        "gateway",
        "--bind",
        "${OPENCLAW_GATEWAY_BIND}",
        "--port",
        "${OPENCLAW_GATEWAY_PORT}",
        "--allow-unconfigured",
      ]

--allow-unconfigured 只是为了方便引导启动，并不能替代正确的网关配置。仍需设置认证（gateway.auth.token 或密码），并为你的部署使用安全的绑定设置。

共享 Docker VM 运行时步骤

使用共享运行时指南完成通用 Docker 主机流程：

• 将所需二进制文件内置到镜像中
• 构建并启动
• 哪些内容会持久化到哪里
• 更新

GCP 特定启动说明

在 GCP 上，如果构建在 pnpm install --frozen-lockfile 阶段因 Killed 或 exit code 137 失败，说明 VM 内存不足。最低使用 e2-small，或使用 e2-medium 获得更可靠的首次构建体验。

绑定到 LAN（OPENCLAW_GATEWAY_BIND=lan）时，请先配置受信任的浏览器来源再继续：

docker compose run --rm openclaw-cli config set gateway.controlUi.allowedOrigins '["http://127.0.0.1:18789"]' --strict-json

如果你更改了网关端口，请将 18789 替换为你配置的端口。

从你的笔记本访问

创建 SSH 隧道来转发 Gateway 网关端口：

gcloud compute ssh openclaw-gateway --zone=us-central1-a -- -L 18789:127.0.0.1:18789

在浏览器中打开：

http://127.0.0.1:18789/

重新打印一个干净的仪表盘链接：

docker compose run --rm openclaw-cli dashboard --no-open

如果 UI 提示进行共享密钥认证，请将已配置的令牌或密码粘贴到控制 UI 设置中。 此 Docker 流程默认会写入令牌；如果你将容器配置切换为密码认证，请改用该密码。

如果控制 UI 显示 unauthorized 或 disconnected (1008): pairing required，请批准浏览器设备：

docker compose run --rm openclaw-cli devices list
docker compose run --rm openclaw-cli devices approve <requestId>

还需要再次查看共享持久化和更新参考？ 请参见 Docker VM 运行时 和 Docker VM 运行时更新。