在Hetzner 上运行OpenClaw（Docker，生产级 VPS 指南）

目标

使用 Docker ?Hetzner VPS 上运行持久的 OpenClaw Gateway，具有持久化状态、内置二进制文件和安全的重启行为?

如果你想?每月?$5 的全天?OpenClaw”，这是最简单可靠的设置? Hetzner 价格会变动；选择最小的 Debian/Ubuntu VPS，如果遇?OOM 则扩容?

安全模型提醒?

当每个人都处于相同的信任边界且运行时仅用于业务时，公司共享代理是可以的?
保持严格分离：专?VPS/运行?+ 专用账户；该主机上不要使用个?Apple/Google/浏览?密码管理?profiles?
如果用户之间存在对抗关系，请?gateway/主机/操作系统用户拆分?

参见安全 ?VPS 托管?

我们在做什么（简单说明）?

租用一台小?Linux 服务器（Hetzner VPS?
安装 Docker（隔离的应用运行时）
?Docker 中启?OpenClaw Gateway
在主机上持久?~/.openclaw + ~/.openclaw/workspace（在重启/重建后保留）
通过 SSH 隧道从笔记本电脑访问 Control UI

Gateway 可以通过以下方式访问?

从笔记本电脑进行 SSH 端口转发
如果你自己管理防火墙?token，可以直接暴露端?

本指南假设在 Hetzner 上使?Ubuntu ?Debian? 如果你在其他 Linux VPS 上，请相应地映射包? 有关通用 Docker 流程，参?Docker?

快速路径（经验丰富的运维人员）

配置 Hetzner VPS
安装 Docker
克隆 OpenClaw 仓库
创建持久化的主机目录
配置 .env ?docker-compose.yml
将所需的二进制文件烘焙到镜像中
docker compose up -d
验证持久化和 Gateway 访问

你需要的

具有 root 访问权限?Hetzner VPS
从笔记本电脑 SSH 连接
基本?SSH + 复制/粘贴熟练?
?20 分钟
Docker ?Docker Compose
模型认证凭证
可选的 provider 凭证
- WhatsApp QR
- Telegram bot token
- Gmail OAuth

1) 配置 VPS

?Hetzner 创建 Ubuntu ?Debian VPS?

?root 身份连接?

ssh root@YOUR_VPS_IP

本指南假?VPS 是有状态的? 不要将其视为可丢弃的基础设施?

2) 安装 Docker（在 VPS 上）

apt-get update
apt-get install -y git curl ca-certificates
curl -fsSL https://get.docker.com | sh

验证?

docker --version
docker compose version

3) 克隆 OpenClaw 仓库

git clone https://github.com/openclaw/openclaw.git
cd openclaw

本指南假设你将构建自定义镜像以保证二进制文件持久化?

4) 创建持久化的主机目录

Docker 容器是临时的? 所有长期状态必须保存在主机上?

mkdir -p /root/.openclaw/workspace

# 将所有权设置为容器用户（uid 1000）：
chown -R 1000:1000 /root/.openclaw

5) 配置环境变量

在仓库根目录创建 .env?

OPENCLAW_IMAGE=openclaw:latest
OPENCLAW_GATEWAY_TOKEN=change-me-now
OPENCLAW_GATEWAY_BIND=lan
OPENCLAW_GATEWAY_PORT=18789

OPENCLAW_CONFIG_DIR=/root/.openclaw
OPENCLAW_WORKSPACE_DIR=/root/.openclaw/workspace

GOG_KEYRING_PASSWORD=change-me-now
XDG_CONFIG_HOME=/home/node/.openclaw

生成?secrets?

openssl rand -hex 32

*不要提交此文件?

6) Docker Compose 配置

创建或更?docker-compose.yml?

services:
  openclaw-gateway:
    image: ${OPENCLAW_IMAGE}
    build: .
    restart: unless-stopped
    env_file:
      - .env
    environment:
      - HOME=/home/node
      - NODE_ENV=production
      - TERM=xterm-256color
      - OPENCLAW_GATEWAY_BIND=${OPENCLAW_GATEWAY_BIND}
      - OPENCLAW_GATEWAY_PORT=${OPENCLAW_GATEWAY_PORT}
      - OPENCLAW_GATEWAY_TOKEN=${OPENCLAW_GATEWAY_TOKEN}
      - GOG_KEYRING_PASSWORD=${GOG_KEYRING_PASSWORD}
      - XDG_CONFIG_HOME=${XDG_CONFIG_HOME}
      - PATH=/home/linuxbrew/.linuxbrew/bin:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
    volumes:
      - ${OPENCLAW_CONFIG_DIR}:/home/node/.openclaw
      - ${OPENCLAW_WORKSPACE_DIR}:/home/node/.openclaw/workspace
    ports:
      # 推荐：保?Gateway ?VPS 上仅限环回访问；通过 SSH 隧道访问?
      # 要公开暴露，删?`127.0.0.1:` 前缀并相应配置防火墙?
      - "127.0.0.1:${OPENCLAW_GATEWAY_PORT}:18789"
    command:
      [
        "node",
        "dist/index.js",
        "gateway",
        "--bind",
        "${OPENCLAW_GATEWAY_BIND}",
        "--port",
        "${OPENCLAW_GATEWAY_PORT}",
        "--allow-unconfigured",
      ]

--allow-unconfigured 仅用于引导便利，它不能替代适当?gateway 配置。仍然需要设置认证（gateway.auth.token 或密码）并为你的部署使用安全的绑定设置?

7) 将所需的二进制文件烘焙到镜像中（关键）

在运行中的容器内安装二进制文件是一个陷阱? 运行时安装的任何东西都将在重启时丢失?

技能所需的所有外部二进制文件必须在镜像构建时安装?

以下示例仅显示三个常见的二进制文件：

gog 用于 Gmail 访问
goplaces 用于 Google Places
wacli 用于 WhatsApp

这些是示例，不是完整列表? 你可以使用相同的模式安装尽可能多的二进制文件?

如果你稍后添加依赖额外二进制文件的新技能，你必须：

更新 Dockerfile
重新构建镜像
重启容器

示例 Dockerfile

FROM node:22-bookworm

RUN apt-get update && apt-get install -y socat && rm -rf /var/lib/apt/lists/*

# 示例二进制文?1：Gmail CLI
RUN curl -L https://github.com/steipete/gog/releases/latest/download/gog_Linux_x86_64.tar.gz \
  | tar -xz -C /usr/local/bin && chmod +x /usr/local/bin/gog

# 示例二进制文?2：Google Places CLI
RUN curl -L https://github.com/steipete/goplaces/releases/latest/download/goplaces_Linux_x86_64.tar.gz \
  | tar -xz -C /usr/local/bin && chmod +x /usr/local/bin/goplaces

# 示例二进制文?3：WhatsApp CLI
RUN curl -L https://github.com/steipete/wacli/releases/latest/download/wacli_Linux_x86_64.tar.gz \
  | tar -xz -C /usr/local/bin && chmod +x /usr/local/bin/wacli

# 使用相同模式在下面添加更多二进制文件

WORKDIR /app
COPY package.json pnpm-lock.yaml pnpm-workspace.yaml .npmrc ./
COPY ui/package.json ./ui/package.json
COPY scripts ./scripts

RUN corepack enable
RUN pnpm install --frozen-lockfile

COPY . .
RUN pnpm build
RUN pnpm ui:install
RUN pnpm ui:build

ENV NODE_ENV=production

CMD ["node","dist/index.js"]

8) 构建并启?

docker compose build
docker compose up -d openclaw-gateway

验证二进制文件：

docker compose exec openclaw-gateway which gog
docker compose exec openclaw-gateway which goplaces
docker compose exec openclaw-gateway which wacli

预期输出?

/usr/local/bin/gog
/usr/local/bin/goplaces
/usr/local/bin/wacli

9) 验证 Gateway

docker compose logs -f openclaw-gateway

成功?

[gateway] listening on ws://0.0.0.0:18789

从你的笔记本电脑?

ssh -N -L 18789:127.0.0.1:18789 root@YOUR_VPS_IP

打开?

http://127.0.0.1:18789/

粘贴你的 gateway token?

什么在哪里持久化（真实来源?

OpenClaw ?Docker 中运行，?Docker 不是真实来源? 所有长期状态必须在重启、重建和重新启动后保留?

组件	位置	持久化机?	备注
Gateway 配置	`/home/node/.openclaw/`	主机卷挂?	包含 `openclaw.json`、tokens
模型认证 profiles	`/home/node/.openclaw/`	主机卷挂?	OAuth tokens、API keys
技能配?	`/home/node/.openclaw/skills/`	主机卷挂?	技能级状?
代理工作?	`/home/node/.openclaw/workspace/`	主机卷挂?	代码和代理产?
WhatsApp 会话	`/home/node/.openclaw/`	主机卷挂?	保留 QR 登录
Gmail keyring	`/home/node/.openclaw/`	主机?+ 密码	需?`GOG_KEYRING_PASSWORD`
外部二进制文?	`/usr/local/bin/`	Docker 镜像	必须在构建时烘焙
Node 运行?	容器文件系统	Docker 镜像	每次镜像构建时重新构?
OS ?	容器文件系统	Docker 镜像	不要在运行时安装
Docker 容器	临时	可重?	可以安全销?

基础设施即代码（Terraform?

对于喜欢基础设施即代码工作流的团队，社区维护?Terraform 设置提供?

具有远程状态管理的模块?Terraform 配置
通过 cloud-init 自动配置
部署脚本（引导、部署、备?恢复?
安全强化（防火墙、UFW、仅 SSH 访问?
用于 gateway 访问?SSH 隧道配置

*仓库?

基础设施：openclaw-terraform-hetzner
Docker 配置：openclaw-docker-config

这种方法通过可重现的部署、版本控制的基础设施和自动化的灾难恢复来补充上述 Docker 设置?

**注意?*社区维护。如有问题或贡献，请参见上面的仓库链接?