Ansible

Implementeer OpenClaw op productieservers met openclaw-ansible -- een geautomatiseerd installatieprogramma met een security-first-architectuur.

Vereisten

Wat je krijgt

• Firewall-first-beveiliging -- UFW + Docker-isolatie (alleen SSH + Tailscale toegankelijk)
• Tailscale VPN -- veilige externe toegang zonder services openbaar bloot te stellen
• Docker -- geïsoleerde sandboxcontainers, alleen localhost-bindingen
• Defense in depth -- beveiligingsarchitectuur met 4 lagen
• Systemd-integratie -- automatisch starten bij boot met hardening
• Installatie met één opdracht -- volledige implementatie in enkele minuten

Quickstart

Installatie met één opdracht:

curl -fsSL https://raw.githubusercontent.com/openclaw/openclaw-ansible/main/install.sh | bash

Wat wordt geïnstalleerd

Het Ansible-playbook installeert en configureert:

1. Tailscale -- mesh-VPN voor veilige externe toegang
2. UFW-firewall -- alleen SSH- + Tailscale-poorten
3. Docker CE + Compose V2 -- voor de standaard agentsandbox-backend
4. Node.js 24 + pnpm -- runtime-afhankelijkheden (Node 22 LTS, momenteel 22.16+, blijft ondersteund)
5. OpenClaw -- hostgebaseerd, niet gecontaineriseerd
6. Systemd-service -- automatisch starten met security hardening

Setup na installatie

sudo -i -u openclaw

openclaw channels login

sudo systemctl status openclawsudo journalctl -u openclaw -f

Snelle opdrachten

# Check service statussudo systemctl status openclaw # View live logssudo journalctl -u openclaw -f # Restart gatewaysudo systemctl restart openclaw # Provider login (run as openclaw user)sudo -i -u openclawopenclaw channels login

Beveiligingsarchitectuur

De implementatie gebruikt een verdedigingsmodel met 4 lagen:

1. Firewall (UFW) -- alleen SSH (22) + Tailscale (41641/udp) openbaar blootgesteld
2. VPN (Tailscale) -- Gateway alleen toegankelijk via VPN-mesh
3. Docker-isolatie -- DOCKER-USER iptables-chain voorkomt externe poortblootstelling
4. Systemd-hardening -- NoNewPrivileges, PrivateTmp, gebruiker zonder privileges

Om je externe aanvalsvlak te controleren:

nmap -p- YOUR_SERVER_IP

Alleen poort 22 (SSH) zou open moeten zijn. Alle andere services (Gateway, Docker) zijn vergrendeld.

Docker wordt geïnstalleerd voor agentsandboxes (geïsoleerde tooluitvoering), niet om de Gateway zelf te draaien. Zie Multi-Agent Sandbox and Tools voor sandboxconfiguratie.

Handmatige installatie

Als je liever handmatige controle hebt over de automatisering:

sudo apt update && sudo apt install -y ansible git

git clone https://github.com/openclaw/openclaw-ansible.gitcd openclaw-ansible

ansible-galaxy collection install -r requirements.yml

./run-playbook.sh

ansible-playbook playbook.yml --ask-become-pass# Then run: /tmp/openclaw-setup.sh

Bijwerken

Het Ansible-installatieprogramma stelt OpenClaw in voor handmatige updates. Zie Bijwerken voor de standaard updateflow.

Om het Ansible-playbook opnieuw uit te voeren (bijvoorbeeld voor configuratiewijzigingen):

cd openclaw-ansible./run-playbook.sh

Dit is idempotent en veilig om meerdere keren uit te voeren.

Probleemoplossing

# Check logssudo journalctl -u openclaw -n 100 # Verify permissionssudo ls -la /opt/openclaw # Test manual startsudo -i -u openclawcd ~/openclawopenclaw gateway run

# Verify Docker is runningsudo systemctl status docker # Check sandbox imagesudo docker images | grep openclaw-sandbox # Build sandbox image if missing (requires source checkout)cd /opt/openclaw/openclawsudo -u openclaw ./scripts/sandbox-setup.sh# For npm installs without a source checkout, see# https://docs.openclaw.ai/gateway/sandboxing#images-and-setup

sudo -i -u openclawopenclaw channels login

Geavanceerde configuratie

Zie de openclaw-ansible-repo voor gedetailleerde beveiligingsarchitectuur en probleemoplossing:

• Beveiligingsarchitectuur
• Technische details
• Gids voor probleemoplossing

Gerelateerd

• openclaw-ansible -- volledige implementatiegids
• Docker -- setup voor gecontaineriseerde Gateway
• Sandboxing -- agentsandboxconfiguratie
• Multi-Agent Sandbox and Tools -- isolatie per agent