4.1 推荐配置（本机使用）#

默认情况下推荐 bind: local，只监听本机回环，需要远程访问时用 SSH 隧道打通（见 4.3）。

1
{
2
  "gateway": {
3
    "port": 18789,
4
    "mode": "local",
5
    "bind": "local",
6
    "auth": {
7
      "mode": "token",
8
      "token": "your_token_here"
9
    },
10
    "tailscale": {
11
      "mode": "off"
12
    }
13
  }
14
}

4.2 开启局域网访问（谨慎使用）#

如果确实需要让局域网其他设备直连，修改为以下配置：

1
{
2
  "gateway": {
3
    "port": 18789,
4
    "mode": "local",
5
    "bind": "lan",
6
    "auth": {
7
      "mode": "token",
8
      "token": "your_token_here"
9
    },
10
    "controlUi": {
11
      "dangerouslyAllowHostHeaderOriginFallback": true,
12
      "allowInsecureAuth": true,
13
      "dangerouslyDisableDeviceAuth": true
14
    },
15
    "tailscale": {
16
      "mode": "off",
17
      "resetOnExit": false
18
    }
19
  }
20
}

bind: lan + dangerously 开关的安全影响

上述配置会把 OpenClaw 暴露到整个局域网，同时关闭三重安全校验：

• dangerouslyAllowHostHeaderOriginFallback：关闭 Origin 校验，允许任意来源调用
• allowInsecureAuth：允许明文（非 HTTPS）认证
• dangerouslyDisableDeviceAuth：禁用设备绑定

配置项里出现 dangerously 是作者对使用者最强的警告。结合 tools.profile full（完整系统工具权限），任何能访问 18789 端口的设备都能用这个 AI 助手在本机做任意事，包括读写文件、执行命令。

推荐替代方案：

• 本机使用：保留 bind: local（4.1 节），配合下面的 SSH 隧道
• 远程访问：开启 tailscale 段，基于身份认证的 Mesh VPN，比裸 lan 安全得多

4.3 SSH 隧道访问（推荐的远程用法）#

从其他机器访问时，SSH 隧道比 bind: lan 安全得多：

1
# 在客户端执行，把远程 18789 映射到本地 18789
2
ssh -N -L 18789:127.0.0.1:18789 user@10.0.0.53

这样本地浏览器访问 http://localhost:18789 就是在访问远端机器的 OpenClaw，且端口仅对你的 SSH 可见。

改完配置要重启服务

本节的配置修改都需要重启 OpenClaw 服务后才会生效。如果已经按第 5 节注册了 systemd 服务，执行：

1
sudo systemctl restart openclaw

5.1 前台运行（首次调试）#

首次安装建议前台运行，确认一切正常：

1
source ~/.bashrc
2
openclaw gateway

终端会打印启动日志，能看到 Listening on :18789 之类的信息即为成功。按 Ctrl+C 退出。

5.2 注册为 systemd 服务（长期运行）#

前台运行正常后，推荐注册成 systemd 服务，方便开机自启与异常自拉。

先查找 openclaw 二进制的绝对路径（systemd 不读用户 PATH，必须写死）：

1
which openclaw

创建服务文件（把 ExecStart 里的路径换成上一步查到的值）：

1
sudo tee /etc/systemd/system/openclaw.service > /dev/null <<'EOF'
2
[Unit]
3
Description=OpenClaw Gateway Service
4
After=network.target
5

6
[Service]
7
Type=simple
8
User=root
9
WorkingDirectory=/root
10
ExecStart=/usr/local/bin/openclaw gateway
11
Restart=always
12
RestartSec=10
13

14
[Install]
15
WantedBy=multi-user.target
16
EOF
17

18
sudo systemctl daemon-reload
19
sudo systemctl enable --now openclaw
20
sudo systemctl status openclaw

生产环境建议用专用用户，不要 root 跑

上面的服务文件 User=root 是为了匹配 WSL 默认导入的 root 环境（wsl --import 进去默认就是 root）。但 tools.profile full 给了 OpenClaw 执行命令、读写文件的完整能力——以 root 运行等于把整台机器的 root 权限交给 AI。

对安全有要求时，创建专用用户并把 OpenClaw 装到该用户下：

1
sudo useradd -r -m -s /bin/bash openclaw
2
sudo -iu openclaw bash -c 'curl -fsSL https://openclaw.ai/install.sh | bash'
3
sudo -iu openclaw openclaw config set tools.profile full
4
sudo -iu openclaw which openclaw     # 查询准确路径，一般是 /home/openclaw/.openclaw/bin/openclaw

然后把服务文件里改成：

1
User=openclaw
2
WorkingDirectory=/home/openclaw
3
ExecStart=/home/openclaw/.openclaw/bin/openclaw gateway

7.1 Systemd user services are unavailable#

安装时若输出：

1
Systemd user services are unavailable. Skipping lingering checks and service install.

这是 WSL 默认没启用用户级 systemd 导致的。两种解法：

• 方案 A：直接前台运行 openclaw gateway（见 5.1），开机启动需手动操作
• 方案 B（推荐）：按第 5.2 节注册为 system 级 systemd 服务（不是 user 级），不受此限制

7.2 改了配置后没生效#

配置文件修改后必须重启服务：

1
sudo systemctl restart openclaw

7.3 服务起不来 / 状态 failed#

查看详细日志：

1
sudo journalctl -u openclaw -n 100 --no-pager

常见原因：ExecStart 里的二进制路径不对（不同用户安装位置不同）、端口 18789 被占用、配置文件 JSON 语法错误。

8.1 PowerShell（宿主机）#

1
# 进入 WSL 子系统
2
wsl -d openclaw
3

4
# 关闭 WSL 子系统
5
wsl -d openclaw --shutdown
6

7
# 查看已安装的 WSL 子系统列表
8
wsl -l -v

8.2 Linux（WSL 内部，systemd 服务方式）#

1
# 查看服务状态
2
sudo systemctl status openclaw
3

4
# 启动 / 停止 / 重启
5
sudo systemctl start openclaw
6
sudo systemctl stop openclaw
7
sudo systemctl restart openclaw
8

9
# 查看实时日志
10
sudo journalctl -u openclaw -f

作者注

本教程在 Windows 11 + WSL 2 + Ubuntu 24.04 环境下验证过。OpenClaw 本身的功能和使用方法请查阅其官方文档。