1. 為什么要在藍(lán)隊(duì)云服務(wù)器上跑 OpenClawOpenClaw 是一套開(kāi)源的自動(dòng)化安全編排平臺(tái)你可以把它理解成一個(gè)“安全任務(wù)的流水線調(diào)度器”把情報(bào)查詢(xún)、日志分析、告警聚合這些動(dòng)作串成工作流按事件觸發(fā)自動(dòng)執(zhí)行。它適合安全運(yùn)維工程師、藍(lán)隊(duì)值守人員以及想搭一套本地化安全實(shí)驗(yàn)環(huán)境的學(xué)習(xí)者。真正讓人頭疼的不是功能而是部署——依賴(lài)多、配置散、模型接口還得單獨(dú)對(duì)接。我這次的做法是把 OpenClaw 整個(gè)跑在藍(lán)隊(duì)云服務(wù)器的 Docker 里模型調(diào)用統(tǒng)一走 TaoToken 的 API 通道。這樣做的直接好處是服務(wù)器只負(fù)責(zé)跑容器模型側(cè)不用在每臺(tái)機(jī)器上分別申請(qǐng)和輪換 Key一個(gè)統(tǒng)一 Key 就能覆蓋 OpenClaw 里所有需要調(diào)用大模型的節(jié)點(diǎn)。整條鏈路從開(kāi)機(jī)到接口連通實(shí)測(cè)下來(lái) 30 分鐘內(nèi)可以跑完。這篇內(nèi)容交付三樣?xùn)|西可復(fù)制的 Docker 部署命令、一份 config.toml 骨架、以及 TaoToken 接入配置和連通性驗(yàn)證動(dòng)作。你照著敲就行遇到報(bào)錯(cuò)直接跳到第 5 節(jié)對(duì)照排查。2. 前置準(zhǔn)備藍(lán)隊(duì)云服務(wù)器與 TaoToken Key2.1 藍(lán)隊(duì)云服務(wù)器選型與端口放行OpenClaw 本體加依賴(lài)容器2 核 4G 起步就夠跑通系統(tǒng)建議 Ubuntu 20.04 LTS 或 CentOS 7.9。購(gòu)買(mǎi)后在控制臺(tái)安全組里預(yù)先放行兩個(gè)端口Web 管理界面用的 TCP 5000以及后續(xù)如果你要暴露 API 的端口默認(rèn)可以不開(kāi)放走內(nèi)網(wǎng)調(diào)用。登錄服務(wù)器用 SSH拿到公網(wǎng) IP 和 root 密碼后直接連ssh root你的藍(lán)隊(duì)云服務(wù)器IP連上后先更新系統(tǒng)保證包索引是新的# Ubuntu apt update apt upgrade -y # CentOS yum update -y注意安全組放行端口和系統(tǒng)防火墻是兩回事。如果你開(kāi)了 ufw 或 firewalld記得同步放行 5000否則瀏覽器打不開(kāi)管理后臺(tái)。2.2 獲取 TaoToken 統(tǒng)一 KeyTaoToken 在這里扮演的是“模型調(diào)用的統(tǒng)一入口”。OpenClaw 內(nèi)部有些節(jié)點(diǎn)需要調(diào)用大模型做文本理解或摘要如果每個(gè)節(jié)點(diǎn)都單獨(dú)配一家廠商的 Key管理和輪換會(huì)很亂。用 TaoToken 的 API 通道你只需要一個(gè) Key改配置時(shí)只動(dòng)一處。操作路徑打開(kāi)官網(wǎng) https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewrite 注冊(cè)登錄后進(jìn)入控制臺(tái)在 API Keys 頁(yè)面創(chuàng)建一個(gè)新 Key。創(chuàng)建時(shí)建議給它起個(gè)能識(shí)別的名字比如openclaw-prod方便以后區(qū)分用途。創(chuàng)建完成后把 Key 復(fù)制下來(lái)形如sk-xxxxxxxx先存到本地記事本。這個(gè) Key 只在創(chuàng)建時(shí)完整顯示一次頁(yè)面刷新后就看不到了。提示Key 不要直接寫(xiě)進(jìn)會(huì)提交到 Git 的配置文件里。生產(chǎn)環(huán)境建議用環(huán)境變量注入下面 config.toml 骨架里我會(huì)用占位符標(biāo)注。3. 可復(fù)制配置Docker 部署 OpenClaw3.1 安裝 Docker 與 Docker Compose先裝 Docker 引擎。用官方腳本最省事curl -fsSL https://get.docker.com | bash -s docker systemctl start docker systemctl enable docker接著裝 Docker Compose 插件新版 Docker 已內(nèi)置 compose 子命令裝插件版即可apt install docker-compose-plugin -y # Ubuntu # 或 yum install docker-compose-plugin -y # CentOS驗(yàn)證一下docker --version docker compose version兩條命令都能輸出版本號(hào)說(shuō)明環(huán)境就緒。3.2 拉取 OpenClaw 并編寫(xiě) docker-compose.yml創(chuàng)建應(yīng)用目錄mkdir -p /opt/openclaw cd /opt/openclaw在/opt/openclaw下新建docker-compose.yml內(nèi)容如下。這里我把 OpenClaw 主服務(wù)和它的依賴(lài)數(shù)據(jù)庫(kù)分開(kāi)定義端口映射到宿主機(jī)的 5000services: openclaw: image: openclaw/openclaw:latest container_name: openclaw restart: unless-stopped ports: - 5000:5000 volumes: - ./config.toml:/app/config.toml - ./data:/app/data environment: - TZAsia/Shanghai depends_on: - openclaw-db openclaw-db: image: postgres:15-alpine container_name: openclaw-db restart: unless-stopped environment: - POSTGRES_USERopenclaw - POSTGRES_PASSWORDchange_me_strong - POSTGRES_DBopenclaw volumes: - ./pgdata:/var/lib/postgresql/data注意POSTGRES_PASSWORD換成你自己的強(qiáng)密碼別用示例值。數(shù)據(jù)庫(kù)端口沒(méi)有映射到宿主機(jī)只在 Docker 內(nèi)網(wǎng)互通這樣更安全。3.3 config.toml 骨架與 TaoToken 接入配置在/opt/openclaw下新建config.toml。這份骨架把模型調(diào)用統(tǒng)一指向 TaoToken 的 API 地址Key 用環(huán)境變量占位[server] host 0.0.0.0 port 5000 [database] host openclaw-db port 5432 user openclaw password change_me_strong dbname openclaw [llm] # 統(tǒng)一走 TaoToken API 通道 base_url https://taotoken.net/api api_key ${TAOTOKEN_API_KEY} model claude-3-5-sonnet timeout 60 [workflow] max_concurrent 5 log_level info關(guān)鍵點(diǎn)說(shuō)明base_url填https://taotoken.net/api這是 API 通道地址不帶任何查詢(xún)參數(shù)。api_key用${TAOTOKEN_API_KEY}占位實(shí)際運(yùn)行時(shí)通過(guò)環(huán)境變量注入避免明文落盤(pán)。如果你想讓 Key 從環(huán)境變量進(jìn)容器把 docker-compose.yml 里 openclaw 服務(wù)的 environment 改成environment: - TZAsia/Shanghai - TAOTOKEN_API_KEY${TAOTOKEN_API_KEY}然后在宿主機(jī)上導(dǎo)出變量再啟動(dòng)export TAOTOKEN_API_KEYsk-你的實(shí)際Key docker compose up -d3.4 啟動(dòng)服務(wù)cd /opt/openclaw docker compose up -d首次啟動(dòng)會(huì)拉鏡像視網(wǎng)絡(luò)情況需要一兩分鐘。啟動(dòng)完成后查看容器狀態(tài)docker compose ps兩個(gè)容器都顯示Up或running就對(duì)了。如果 openclaw 容器反復(fù)重啟用docker compose logs openclaw看日志多半是 config.toml 格式或數(shù)據(jù)庫(kù)連接問(wèn)題對(duì)照第 5 節(jié)排查。4. 驗(yàn)證請(qǐng)求確認(rèn)模型通道連通4.1 驗(yàn)證 OpenClaw 服務(wù)本身瀏覽器打開(kāi)http://你的藍(lán)隊(duì)云服務(wù)器IP:5000能看到 OpenClaw 的登錄或初始化頁(yè)面說(shuō)明 Web 服務(wù)正常。首次進(jìn)入按提示創(chuàng)建管理員賬號(hào)。命令行側(cè)也可以快速探活curl -I http://127.0.0.1:5000返回HTTP/1.1 200或302都算正常。4.2 驗(yàn)證 TaoToken 模型通道這一步是重點(diǎn)確認(rèn) OpenClaw 能通過(guò) TaoToken 拿到模型響應(yīng)。最直接的方式是單獨(dú)測(cè)一次 API 通道。用 curl 發(fā)一個(gè)最小請(qǐng)求curl https://taotoken.net/api/v1/chat/completions \ -H Authorization: Bearer sk-你的實(shí)際Key \ -H Content-Type: application/json \ -d { model: claude-3-5-sonnet, messages: [{role: user, content: ping}], max_tokens: 16 }如果返回 JSON 里帶choices字段和一段回復(fù)內(nèi)容說(shuō)明 Key 和通道都正常。返回 401 是 Key 問(wèn)題返回 404 檢查 base_url 是否寫(xiě)成了帶多余路徑的地址。4.3 在 OpenClaw 里觸發(fā)一次模型調(diào)用回到 OpenClaw 管理后臺(tái)新建一個(gè)最簡(jiǎn)單的測(cè)試工作流加一個(gè)“文本摘要”節(jié)點(diǎn)輸入一段測(cè)試文本保存后手動(dòng)觸發(fā)。觀察節(jié)點(diǎn)執(zhí)行日志如果狀態(tài)變成成功并輸出了摘要結(jié)果說(shuō)明 OpenClaw 已經(jīng)成功通過(guò) config.toml 里的配置調(diào)到了 TaoToken 通道。這一步跑通整條鏈路就閉環(huán)了。5. 本篇常見(jiàn)錯(cuò)排查容器起不來(lái)日志報(bào) config 解析失敗。多半是 config.toml 里字符串沒(méi)加引號(hào)或者 TOML 段落寫(xiě)錯(cuò)。用docker compose logs openclaw看具體行號(hào)TOML 對(duì)格式比較敏感base_url和api_key的值必須用雙引號(hào)包住。Web 頁(yè)面打不開(kāi)但容器是 Up。先確認(rèn)藍(lán)隊(duì)云安全組放行了 5000再確認(rèn)系統(tǒng)防火墻。Ubuntu 用ufw status看CentOS 用firewall-cmd --list-ports看。兩邊都放行后還不行檢查 docker-compose.yml 里端口映射是不是寫(xiě)成了5000:5000。模型調(diào)用返回 401。Key 錯(cuò)了或者沒(méi)注入進(jìn)容器。進(jìn)容器里確認(rèn)環(huán)境變量docker compose exec openclaw env | grep TAOTOKEN。如果為空說(shuō)明宿主機(jī) export 的變量沒(méi)傳進(jìn)去檢查 docker-compose.yml 的 environment 段有沒(méi)有引用${TAOTOKEN_API_KEY}。模型調(diào)用超時(shí)。把 config.toml 里的timeout從 60 調(diào)到 120 試試。另外確認(rèn)服務(wù)器出網(wǎng)正常curl -I https://taotoken.net/api能通再排查應(yīng)用層。數(shù)據(jù)庫(kù)連接被拒。確認(rèn) openclaw-db 容器先于 openclaw 啟動(dòng)完成。compose 里雖然寫(xiě)了 depends_on但它只保證啟動(dòng)順序不保證就緒。等數(shù)據(jù)庫(kù)起來(lái)后再docker compose restart openclaw一次即可。6. 后續(xù)接入與長(zhǎng)期使用建議鏈路跑通之后日常維護(hù)主要盯兩件事一是 Key 的輪換TaoToken 控制臺(tái)里可以隨時(shí)新建 Key 并停用舊的改完配置重啟 openclaw 容器就生效二是資源占用2 核 4G 跑測(cè)試夠用如果工作流并發(fā)調(diào)高觀察docker stats里的內(nèi)存曲線接近上限就升配。如果你打算把 OpenClaw 接到長(zhǎng)期運(yùn)行的編碼或 Agent 場(chǎng)景里建議單獨(dú)規(guī)劃一套 Coding Plan把模型調(diào)用額度和實(shí)驗(yàn)環(huán)境分開(kāi)避免測(cè)試流量擠占生產(chǎn)額度。接入文檔里有完整的參數(shù)說(shuō)明和示例配置項(xiàng)對(duì)照著改就行。需要再確認(rèn)某個(gè)模型在當(dāng)前通道下的實(shí)際表現(xiàn)可以直接在模型對(duì)話頁(yè)面發(fā)幾條測(cè)試請(qǐng)求比在 OpenClaw 里反復(fù)觸發(fā)工作流更快。Key 管理和新建入口都在 API Keys 頁(yè)面輪換時(shí)記得同步更新服務(wù)器上的環(huán)境變量別只改控制臺(tái)忘了容器側(cè)。