1. 部署前必须想清楚的三件事1.1 OpenClaw到底是个什么东西值不值得折腾先别急着看命令。OpenClaw这个名字早期玩过AI Agent的人可能更熟悉它的旧称Clawdbot。简单说它是一个开源的个人AI助理框架核心能力是让大模型去调用各种工具、连接外部系统完成你交代的任务。我举个通俗的例子你早上在群里说一句“把昨天销售发我的那份Excel表格整理成周报顺便回复邮件”OpenClaw会自己规划步骤、调用邮箱读取附件、调用表格工具提取数据、调用写作模型生成周报再调用邮件服务把内容回过去。整个过程基本不需要你手动操作每一个环节。它跟我们常用的ChatGPT网页版最大的区别是ChatGPT只能“聊”OpenClaw能“干活”。它天生就是冲着自动化工作流去的支持接入IM工具、日历、邮箱、数据库、HTTP接口甚至可以在服务器上直接执行命令。简单讲它就是你的数字员工给它一个目标它会想办法完成任务。我跟OpenClaw打交道有一段时间了用下来的感受是它强在“编排能力”弱在“开箱即用”。配置门槛并不低尤其在国内网络环境下新手很容易卡在环境搭建这一步。这也是我想写这篇教程的原因把我踩过的坑全部铺平让一个完全没接触过Linux和Docker的人也能在阿里云轻量服务器上把它跑起来。1.2 为什么我选了阿里云轻量服务器而不是ECS做OpenClaw这类常驻服务最核心的需求是“稳定在线”。你的电脑可能随时关机、断网、休眠但服务器不会。我周围很多朋友一开始图省事直接在本地电脑上装结果出门一趟、系统更新一次服务就断了根本没法真正当生产力工具用。服务器选型上阿里云有两类产品经常被新手拿来比较轻量应用服务器SWAS和云服务器ECS。我的建议很明确如果你是单机部署、个人使用、不想研究复杂的网络和磁盘配置直接买轻量应用服务器。轻量服务器本质上就是一台简化了的ECS阿里云把带宽、流量包、防火墙、快照这些常用功能做了可视化封装。对普通用户来说最大的优势是便宜且够用。以我常用的2核4G配置为例新用户活动价格经常能压到每年一两百块比买一台VPS再自己折腾网络划算得多。轻量服务器另外一个明显的优势是固定带宽。你买2核4G的轻量服务器带宽通常是固定值比如4Mbps或6Mbps不用担心按量计费在半夜被刷爆流量。OpenClaw这类代理服务的流量消耗其实不大绝大多数请求是文本4Mbps带宽完全够用。至于ECS我只有在需要弹性伸缩、SLB负载均衡、复杂VPC网络时才推荐。那种场景大多是生产环境、多个服务集群OpenClaw单体部署根本用不着。1.3 部署方案选型Docker还是源码安装进入实操前先解决一个最关键的方案取舍用Docker部署还是直接拉源码跑。我的结论非常坚定用Docker。OpenClaw底层依赖Node.js环境依赖的npm包非常多直接源码安装经常会遇到Node版本不兼容、npm依赖拉取失败、环境变量配错等一堆问题。Docker把这些依赖全部封装进镜像里你只需要关心配置文件和端口映射就行。之前有段时间OpenClaw还没提供官方镜像只能手动git clone源码再npm install那个复杂度对小白来说基本劝退。现在项目官方已经提供了Docker镜像大大降低了上手门槛。如果你是第一次部署千万别从源码开始折腾。模型API的选型也需要提前想清楚。OpenClaw本质上是一层“调度壳”真正干活的还是大模型。国内部署时我不建议直接配海外模型服务商的地址一个原因是网络延迟高另一个原因是支付和访问都不方便。更合理的方案是用兼容OpenAI接口的国内服务比如硅基流动、DeepSeek官方API、阿里云百炼平台。这些服务几乎都支持OpenAI的接口协议只需要在OpenClaw环境变量里改一下base_url和api_key就行后面我会详细讲。2. 服务器购买与初始配置2.1 轻量服务器的规格怎么选注意避坑登录阿里云控制台搜索“轻量应用服务器”进入购买页。这里有几个选项需要认真看。地域选择原则是离你业务最近。如果你只是自己用就选离你最近的区域如果你要接入微信、钉钉这类国内IM服务选中国内地的地域准没错。我个人推荐杭州或上海网络质量稳定阿里云生态资源也丰富。镜像选择这里很多人会踩坑。购买页会让选应用镜像或系统镜像我要提醒你的是不要选那些带“宝塔面板”“WordPress”的集成镜像虽然看起来省事但预装了一堆你用不到的软件反而干扰后续部署。直接选“系统镜像”操作系统选Ubuntu 22.04 LTS。如果你对命令行很熟悉选Debian 12也行但为了教程通用我全程用Ubuntu举例。套餐规格这是最容易纠结的地方。我直接给你结论至少2核4G这个配置跑OpenClaw加Docker容器内存基本够用CPU也不会动不动就满载。2核2G的等了便宜一时爽一旦OpenClaw跑多个自动化任务内存就会捉襟见肘。磁盘大小建议选默认的60GBOpenClaw本身没多大但Docker镜像和日志文件会慢慢积累。有一点容易被忽略购买页面通常会有一个“流量包”的选项轻量服务器自带基础流量包超出部分会额外计费。个人使用场景下默认流量包完全够用不用额外加钱升级。2.2 创建实例后第一时间做好的三件安全事服务器到手后先别急着装环境和部署安全配置必须先做好。很多新手服务器刚买回来不到一天就被扫描爆破原因就是裸奔上阵。第一件事改SSH端口和登录方式。默认的22端口是全网扫描器重点照顾对象建议登录后把SSH端口改成一个不常用的高位端口比如22983。改完之后再配合密码登录安全性会提升一个档次。当然如果你会用SSH密钥直接禁用密码登录更稳。第二件事在阿里云控制台配置防火墙规则。轻量服务器自带云防火墙默认会放行22端口但你后续要暴露的Web端口、API端口都需要在这里显式放行。比如OpenClaw的Web界面默认跑在某个端口你需要先在这个防火墙添加规则否则外面访问不到。轻量服务器控制台里的防火墙和Linux系统里的ufw是两层两者都要看清楚一个没放行就会卡半天。第三件事关闭root密码登录。Ubuntu镜像默认允许root通过密码登录这给暴力破解留下了空间。我会在后续章节使用普通用户加sudo的方式来操作这样即使有人猜到密码也拿不到最高权限。2.3 SSH连接工具怎么选新手推荐服务器安全组弄好后接下来要解决“怎么连上服务器”的问题。Windows用户我推荐直接使用PowerShell自带的SSH命令也可以装一个Xterminal或者MobaXterm。如果你是Mac用户直接用系统自带的“终端”即可输入ssh命令就能连上。我个人的习惯是第一次连接服务器用的是阿里云控制台自带的“远程连接”功能确认网络通了之后再在本地终端用SSH连。这样即使本地网络有问题也能先进入服务器排查。连接命令很简单ssh root你的服务器公网IP如果之前改了端口要加一个参数ssh -p 22983 root你的服务器公网IP首次连接会提示确认主机指纹输入yes回车然后输入密码。看到类似rootxxxx:~#的提示符说明你已经成功进入了服务器。这一步对老手来说是家常便饭但新手往往卡在“不知道怎么看公网IP”上。公网IP在阿里云轻量服务器控制台的“服务器详情”页面就能看到一般是一串类似47.98.xx.xx的数字。3. 从零开始装好运行环境3.1 Ubuntu系统初始化更新软件源进入服务器后建议先做一遍系统更新。这一步非常必要因为新买的服务器镜像可能包含过期软件源和已知安全漏洞。依次执行以下命令apt update这个命令会刷新软件源列表。然后升级现有软件包apt upgrade -y如果你在中国内地地域的服务器上apt源默认是阿里云内网源速度会非常快。这个过程可能会下载几百MB的更新包但基本上几分钟就能完成。升级完成之后顺手装几个后面会用到的工具让它们常驻系统apt install -y curl wget git unzip vim这里我多说一句为什么用vim而不是nano纯粹是我个人习惯新手如果觉得vim难用用nano也一样不影响后续操作。关键是能编辑文件。3.2 安装Docker并配置阿里云镜像加速接下来是重头戏安装Docker。你不需要手动去官网下载安装包直接用官方脚本就行curl -fsSL https://get.docker.com | bash这个脚本会自动检测操作系统并安装最新版Docker引擎。装完后先检查一下docker version能够看到客户端和服务端版本信息就说明装好了。但这里有个国内用户必须做的关键配置镜像加速。Docker默认从Docker Hub拉取镜像国内网络访问极慢经常几KB每秒甚至超时。好在阿里云给每个用户提供了免费的个人镜像加速地址。获取方法登录阿里云控制台搜索“容器镜像服务”进入“镜像加速器”页面复制你的专属加速地址通常是https://xxxx.mirror.aliyuncs.com。然后编辑Docker的配置文件vim /etc/docker/daemon.json没有这个文件就直接新建写入以下内容{ registry-mirrors: [https://xxxx.mirror.aliyuncs.com] }把xxxx换成你自己的加速地址。保存退出后重启Docker生效systemctl restart docker这里有个细节要注意如果你执行docker version时发现客户端正常但服务端Connection refused多半是Docker守护进程没起来执行systemctl status docker查看状态再用systemctl start docker启动即可。3.3 安装Docker Compose规划项目目录现在Docker装好了但为了后续编排方便我们还需要Docker Compose。新版本Docker自带插件可以用以下命令确认docker compose version如果有输出且版本号是2.x就直接用如果没有说明你的Docker版本太老需要单独安装。我的建议如果你的Docker版本不支持compose插件直接升级Docker别折腾单独的compose二进制文件了。接下来规划项目目录。不要随便在工作目录里乱建文件夹我推荐这样组织mkdir -p /opt/openclaw/data mkdir -p /opt/openclaw/config cd /opt/openclaw/opt目录是Linux下存放第三方应用的标准位置。data目录用来存放OpenClaw的运行时数据config目录存放配置文件。这样做的目的是让数据和容器解耦将来即使把容器删了重装数据还在不会丢。为什么再三强调目录规划因为我见过太多人图省事把配置文件随手放在/root下面结果版本升级或者容器重建配置文件被覆盖所有自动化任务归零。养成良好的目录习惯真能让你少走很多弯路。4. 用Docker部署OpenClaw全流程4.1 先拉取镜像还是直接写compose文件确认Docker环境正常后就到了核心部署环节。很多教程上来就让你docker pull openclaw/openclaw我的建议是直接跳过拉取镜像这一步先写docker-compose.yml然后通过compose自动拉取。原因是OpenClaw的官方镜像有些版本有标签区分比如latest、web如果你手动pull了一个不含Web界面的镜像后面还得重新搞。用compose文件可以明确指定镜像和运行模式一次性到位。我用的compose配置文件如下version: 3.8 services: openclaw: image: openclaw/openclaw:latest container_name: openclaw restart: unless-stopped ports: - 18642:18642 environment: - OPENAI_BASE_URLhttps://api.deepseek.com/v1 - OPENAI_API_KEYsk-xxxx - MODEL_NAMEdeepseek-chat - PORT18642 volumes: - /opt/openclaw/data:/root/.openclaw - /opt/openclaw/config:/app/config tty: true stdin_open: true这里的端口我只随便举了一个例子实际端口要根据OpenClaw最新版本的默认端口来定。如果官方默认端口变了改compose文件里的左右两侧映射即可。左边是宿主机端口右边是容器内端口。写好之后保存然后执行docker compose up -d-d参数是让容器在后台运行不会霸占你的终端。第一次运行时Docker会从镜像仓库拉取镜像配合前面配置的阿里云镜像加速速度一般是可接受的。启动后查看容器状态docker compose psSTATUS显示Up说明容器正常运行。如果有异常先别慌继续往下看日志排查。4.2 环境变量详解API地址和模型名怎么配置OpenClaw本质上是一个“调度中台”它要把你的任务发给大模型推理因此必须配置大模型的API。这一步是新手最容易迷糊的地方。核心环境变量有三个OPENAI_BASE_URL、OPENAI_API_KEY、MODEL_NAME。第一个是模型服务的接口地址。只要是兼容OpenAI接口格式的服务都可以填进去。国内可选择的有DeepSeek官方APIhttps://api.deepseek.com/v1对应的模型名是deepseek-chat或deepseek-reasoner硅基流动https://api.siliconflow.cn/v1模型名可选Qwen/Qwen2.5-7B-Instruct等阿里云百炼https://dashscope.aliyuncs.com/compatible-mode/v1模型名可选qwen-plus、qwen-max第二个是API Key。去对应平台的控制台创建一般都在“API Keys”或“密钥管理”页面。这里有一个过来人的建议OpenClaw的API Key最好用一个独立账号或独立Key不要用你生产环境的主Key。因为OpenClaw作为代理框架有可能会把Key暴露在某些日志或配置文件中一旦泄露损失可控。第三个是模型名。这里特别容易踩坑不同平台的模型名五花八门填错了后果通常是接口返回400错误日志里会报“model not found”。解决方法是去对应平台的文档里查或者直接在平台的控制台“模型广场”里复制。例如DeepSeek的模型名就是deepseek-chat不是deepseek也不是deepseek-v3。我还遇到过一种情况明明API配置都正确但OpenClaw就是不干活。后来发现是环境变量的大小写问题OPENAI_API_KEY少写了一个下划线。这种低级错误最容易浪费半小时配完之后一定要回头检查拼写。4.3 挂载目录的作用以及为什么要持久化数据在上面compose文件里我写了两组volume挂载volumes: - /opt/openclaw/data:/root/.openclaw - /opt/openclaw/config:/app/config第一行是把宿主机的/opt/openclaw/data目录挂载到容器内的/root/.openclaw。这个目录是OpenClaw保存运行时数据、日志、凭据的地方。如果不挂载容器一删所有登录状态和自动化任务配置全部消失等于白忙一场。第二行是把宿主机的/opt/openclaw/config挂载到容器内的/app/config。如果你希望手动修改OpenClaw的配置文件比如调整某个Skill、设置定时任务直接编辑宿主机目录里的文件即可容器内会同步生效。为什么强烈建议用挂载我讲一个真实经历有次我把OpenClaw从旧版本升级到新版本直接执行了docker compose down然后删掉了旧容器因为数据目录挂了宿主机升级之后所有配置和任务记录都还在。如果当时没做挂载数据就跟着容器一起没了那才叫欲哭无泪。如果你的数据目录权限不对容器启动时可能会报Permission denied。这种问题通常直接执行chmod -R 755 /opt/openclaw就能解决。注意执行完重启容器。4.4 首次启动验证OpenClaw是否真正跑起来配置写好后启动容器并观察日志是最直观的验证方式。执行docker logs -f openclaw-f参数表示持续跟踪日志。正常情况下你会看到类似“OpenClaw started”“API server listening on port xxx”的输出。如果日志里出现“Cannot find module”或者“Connection refused”基本可以断定是镜像问题或者网络问题。还有一种验证方式是直接在服务器本地测试Web接口。假设你映射的端口是18642在服务器上执行curl http://127.0.0.1:18642/health或者你可以在本地浏览器直接访问http://服务器公网IP:18642看起来是这样的页面并能正常响应说明服务已经跑通了。如果浏览器访问不到第一反应别去怀疑OpenClaw九成是阿里云轻量服务器控制台的“防火墙”里没有放行这个端口。去控制台找到“防火墙”菜单添加一条规则协议选TCP端口填18642授权对象填0.0.0.0/0保存之后刷新页面再看看。端口放行这个坑我至少见了不下十个人踩过。轻量服务器的云防火墙和ECS的安全组是两回事路径不一样但作用一样都是放行端口。如果你在系统里也装了ufw防火墙还需要在系统层面同时放行别漏了。5. 接入渠道让OpenClaw真正“用起来”5.1 通过Web界面认识OpenClaw容器跑起来之后OpenClaw默认会提供一个可交互的Web界面。这个界面叫“Claw Web”功能相当于一个在线聊天窗口只是对面不是真人而是你的AI助理。在浏览器访问http://服务器公网IP:18642打开后应该是登录界面。第一次访问会让你创建一个管理员账号这个操作是写进数据目录的下次登录用同一个账号即可。Web界面能做什么你可以直接在里面输入自然语言任务比如“帮我总结一下/data目录下最新的日志内容”“给我写一段Python脚本读取当前系统CPU使用率并输出成表格”。OpenClaw会解析你的意图调用相应的工具然后返回结果。对新手来说Web界面也是最好的调试入口。当你配置了新的API或Skill之后先在Web界面里跑一个最简单的任务比如“你好介绍一下你自己”确认整条链路都通再去配置IM接入。否则一上来就接微信、钉钉出了问题你根本分不清是IM的问题还是模型的问题。5.2 接入微信前必须知道的风控问题很多用户对OpenClaw最感兴趣的功能是接微信让它直接在对话窗口里帮忙干活。这里我把话说明白OpenClaw接微信和普通聊天机器人不同它用的是个人微信号登录这在平台侧是灰色地带存在账号风控、功能限制甚至封号的可能。网上有个很典型的现象就是“OpenClaw微信插件触发了iLinkAI服务端风控或会话残留”。我解释一下iLinkAI是OpenClaw微信接入链路里的一个中转网关当个人微信号通过它登录时如果短时间内大量发送消息、频繁切换会话或者账号行为模式异常就容易触发风控导致消息发不出去、会话状态残留、插件服务假死。我的建议是如果你一定要接入微信务必遵守几条红线。第一用小号测试。千万不要拿自己的主力微信号去接万一被限制登录代价非常大。第二控制任务频率。不要让OpenClaw在微信里执行每分钟一次的定时任务尽量把任务改成事件触发式。第三保持消息内容正常。别让它批量给好友发广告那是自寻死路。如果已经出现了“会话残留”问题常见处理方式是在OpenClaw的配置里清除微信会话缓存然后重启容器。我试过的路径是进入到数据目录找到对应的session缓存文件删掉之后重启服务让它重新登录微信。这个方法能解决大部分残留问题但如果你频繁遇到说明你的微信账号已经被重点关注建议立刻停止该渠道改用Web界面或企业微信机器人。为什么我在这一章反复强调风控因为部署OpenClaw本身是很稳的事情但接入个人微信是有不确定性的。我不希望读者看着教程把服务部署好了最后却因为违规接入把自己的账号搞没了。5.3 配置定时任务让自动化真正落地OpenClaw真正值钱的亮点在于“自主完成任务”而定时任务就是最典型的场景之一。你可以把OpenClaw理解成一个有大脑的闹钟到点自动唤醒读取任务列表执行动作然后汇报结果。比如每天早上9点让AI助理读取前一天未读邮件整理成摘要发到你的Web界面或者每天晚上10点统计服务器错误日志生成分析报告。OpenClaw的任务配置一般在/app/config挂载目录下的配置文件中。格式大致是schedules: - name: daily_report cron: 0 9 * * * task: 读取昨天的邮件并生成摘要写好后重启服务让它加载新配置docker compose restart配置定时任务有两个注意点。第一如果服务器时区不是UTC8定时时间会和你预期差8个小时建议在系统里执行timedatectl set-timezone Asia/Shanghai把时区改成中国标准时间。第二任务执行需要调用模型所以定时任务越密集API消耗越大要留意自己的API额度。6. 常见问题与排查技巧实录6.1 Windows下常见的“WSL2环境验证失败”怎么破虽然本教程主要在讲Linux服务器部署但我知道很多读者前期会在Windows上做验证然后才决定上服务器。网上经常能看到OpenClaw报错信息“Could not safely verify the WSL2 environment”。这个错误的背景是OpenClaw为了确保Docker容器能正常使用GPU和网络功能在启动时会检查宿主机是否具备有效的WSL2环境。Windows用户如果没装WSL2或者Docker Desktop的WSL2后端没启用就会看到这个报错。解决方法按顺序尝试第一确认已安装WSL2。在PowerShell里执行wsl --status如果没有安装执行wsl --install安装默认发行版。第二如果在公司电脑上可能是组策略禁用了WSL2这时只能换一台电脑或者直接上云服务器不必死磕。第三如果WSL2正常把Docker Desktop的Settings - General里的“Use the WSL 2 based engine”勾上然后重启Docker Desktop。第四步如果你用的不是Docker Desktop而是原生DockerWSL2验证通常不会报错报错多出现在Docker Desktop集成模式下。出现这个报错的大多数情况都是因为用户把Docker装到了非默认目录或者Windows版Docker和系统版本不兼容。我的个人建议是这种环境问题往往比部署本身更耗时与其在一台Windows电脑上反复折腾不如直接买一台轻量服务器在干净的Linux环境里一次性部署成功。6.2 微信插件触发iLinkAI风控和会话残留的完整对策这个主题我在第五章已经提过这里再展开讲一下具体操作。当你发现OpenClaw微信插件表现异常直接看容器的日志docker logs -f openclaw如果日志里出现“session expired”“risk control”“ilinkai”相关关键词说明微信登录状态已经失效或者被风控。处理步骤第一立即停止OpenClaw的微信渠道任务避免继续触发风控第二清除会话缓存。进入/opt/openclaw/data目录找到类似wechat_session或ilinkai_credentials的文件将其重命名或删除第三重启容器docker compose restart重启后OpenClaw会要求重新扫码登录微信用备用小号登录。如果扫码之后还是立刻被风控基本说明当前网络的设备指纹或IP已经被平台标记这时候你需要换一台服务器或者换一个微信号来接入了。这个问题的核心逻辑是个人微信不是为机器人设计的。任何自动化接入都会与平台的风控机制产生冲突区别只是发生频率问题。所以我一直建议把微信当成一类实验性渠道而不是核心生产力渠道。生产环境优先用Web界面、企业微信或钉钉机器人稳定性会大幅提升。6.3 容器日志排查三板斧服务跑不起来先别急着怀疑代码或者框架多半是运行环境问题。我总结了一套“三板斧”排查思路新手也能直接用。第一板斧是看容器是否在运行docker compose ps如果状态是Exited先看退出时的日志docker logs --tail 200 openclaw日志最后几行会告诉你退出原因。常见的是端口被占用、API Key配置错误、目录权限不对。把日志里的关键词记下来再去搜索解决方案。第二板斧是确认端口监听情况。在服务器上执行netstat -tlnp | grep 18642如果这条命令没有任何输出说明容器内进程可能没有起来如果是0.0.0.0:18642说明监听正常。如果发现端口被另一个进程占用了需要停掉冲突进程或者换一个外部端口映射。第三板斧是检查网络连通性。很多新手部署成功后Web界面刷不出来第一反应是去服务器里瞎折腾。正确的做法是先判断问题在哪个层面在你本地电脑执行ping 服务器IP再执行telnet 服务器IP 18642如果ping通但telnet不通问题在防火墙如果ping都不通问题在服务器网络。这三步走完大部分问题基本可以定位。剩下的问题大多和OpenClaw本身的配置有关把日志贴到社区或GitHub issue区很快就能得到反馈。6.4 服务器安全加固和资源监控OpenClaw部署好了不代表一切完事。长期运行的服务器如果不管不顾迟早会出问题。我强烈建议大家至少做两件事安全加固和资源监控。安全加固方面最实用的是用fail2ban自动封禁暴力破解的IP。安装很简单apt install -y fail2ban配置好后它会自动监控SSH登录日志连续失败5次就封禁这个IP十分钟。我实际用下来这个工具可以挡住绝大多数脚本扫描和暴力破解。资源监控方面轻量服务器控制台自带CPU、内存、宽带监控面板但粒度较粗。我更推荐自己装一个轻量的监控命令直接看实时资源占用docker stats这个命令会展示每个容器的CPU、内存、网络使用情况。OpenClaw容器如果内存长期超过1GB你需要留意是不是任务太频繁或者模型API返回的数据量太大可以考虑降低任务频率或优化Prompt。还有一个很多人没注意到的坑Docker容器日志默认会无限增长时间长了会占满磁盘。建议在/etc/docker/daemon.json里加上日志滚动配置{ log-driver: json-file, log-opts: { max-size: 50m, max-file: 3 } }这样每个容器的日志文件最大只保留150MB不会把磁盘吃爆。配置完同样要重启Docker生效。我觉得OpenClaw这类工具最迷人的地方是它能把AI能力变成“可调度的服务”而不是一个聊天框。真正上手之后你会慢慢发现很多重复劳动都能交给它打理。但前提是服务要稳服务器要安全这两件事做到了剩下的事就是尽情发挥想象力了。 
长河君 · 2026/9/18 2:29:14 · 阅读 1.2k OpenClaw部署实战：从零开始在阿里云轻量服务器上用Docker搭建个人AI助理
1. 部署前必须想清楚的三件事1.1 OpenClaw到底是个什么东西值不值得折腾先别急着看命令。OpenClaw这个名字早期玩过AI Agent的人可能更熟悉它的旧称Clawdbot。简单说它是一个开源的个人AI助理框架核心能力是让大模型去调用各种工具、连接外部系统完成你交代的任务。我举个通俗的例子你早上在群里说一句“把昨天销售发我的那份Excel表格整理成周报顺便回复邮件”OpenClaw会自己规划步骤、调用邮箱读取附件、调用表格工具提取数据、调用写作模型生成周报再调用邮件服务把内容回过去。整个过程基本不需要你手动操作每一个环节。它跟我们常用的ChatGPT网页版最大的区别是ChatGPT只能“聊”OpenClaw能“干活”。它天生就是冲着自动化工作流去的支持接入IM工具、日历、邮箱、数据库、HTTP接口甚至可以在服务器上直接执行命令。简单讲它就是你的数字员工给它一个目标它会想办法完成任务。我跟OpenClaw打交道有一段时间了用下来的感受是它强在“编排能力”弱在“开箱即用”。配置门槛并不低尤其在国内网络环境下新手很容易卡在环境搭建这一步。这也是我想写这篇教程的原因把我踩过的坑全部铺平让一个完全没接触过Linux和Docker的人也能在阿里云轻量服务器上把它跑起来。1.2 为什么我选了阿里云轻量服务器而不是ECS做OpenClaw这类常驻服务最核心的需求是“稳定在线”。你的电脑可能随时关机、断网、休眠但服务器不会。我周围很多朋友一开始图省事直接在本地电脑上装结果出门一趟、系统更新一次服务就断了根本没法真正当生产力工具用。服务器选型上阿里云有两类产品经常被新手拿来比较轻量应用服务器SWAS和云服务器ECS。我的建议很明确如果你是单机部署、个人使用、不想研究复杂的网络和磁盘配置直接买轻量应用服务器。轻量服务器本质上就是一台简化了的ECS阿里云把带宽、流量包、防火墙、快照这些常用功能做了可视化封装。对普通用户来说最大的优势是便宜且够用。以我常用的2核4G配置为例新用户活动价格经常能压到每年一两百块比买一台VPS再自己折腾网络划算得多。轻量服务器另外一个明显的优势是固定带宽。你买2核4G的轻量服务器带宽通常是固定值比如4Mbps或6Mbps不用担心按量计费在半夜被刷爆流量。OpenClaw这类代理服务的流量消耗其实不大绝大多数请求是文本4Mbps带宽完全够用。至于ECS我只有在需要弹性伸缩、SLB负载均衡、复杂VPC网络时才推荐。那种场景大多是生产环境、多个服务集群OpenClaw单体部署根本用不着。1.3 部署方案选型Docker还是源码安装进入实操前先解决一个最关键的方案取舍用Docker部署还是直接拉源码跑。我的结论非常坚定用Docker。OpenClaw底层依赖Node.js环境依赖的npm包非常多直接源码安装经常会遇到Node版本不兼容、npm依赖拉取失败、环境变量配错等一堆问题。Docker把这些依赖全部封装进镜像里你只需要关心配置文件和端口映射就行。之前有段时间OpenClaw还没提供官方镜像只能手动git clone源码再npm install那个复杂度对小白来说基本劝退。现在项目官方已经提供了Docker镜像大大降低了上手门槛。如果你是第一次部署千万别从源码开始折腾。模型API的选型也需要提前想清楚。OpenClaw本质上是一层“调度壳”真正干活的还是大模型。国内部署时我不建议直接配海外模型服务商的地址一个原因是网络延迟高另一个原因是支付和访问都不方便。更合理的方案是用兼容OpenAI接口的国内服务比如硅基流动、DeepSeek官方API、阿里云百炼平台。这些服务几乎都支持OpenAI的接口协议只需要在OpenClaw环境变量里改一下base_url和api_key就行后面我会详细讲。2. 服务器购买与初始配置2.1 轻量服务器的规格怎么选注意避坑登录阿里云控制台搜索“轻量应用服务器”进入购买页。这里有几个选项需要认真看。地域选择原则是离你业务最近。如果你只是自己用就选离你最近的区域如果你要接入微信、钉钉这类国内IM服务选中国内地的地域准没错。我个人推荐杭州或上海网络质量稳定阿里云生态资源也丰富。镜像选择这里很多人会踩坑。购买页会让选应用镜像或系统镜像我要提醒你的是不要选那些带“宝塔面板”“WordPress”的集成镜像虽然看起来省事但预装了一堆你用不到的软件反而干扰后续部署。直接选“系统镜像”操作系统选Ubuntu 22.04 LTS。如果你对命令行很熟悉选Debian 12也行但为了教程通用我全程用Ubuntu举例。套餐规格这是最容易纠结的地方。我直接给你结论至少2核4G这个配置跑OpenClaw加Docker容器内存基本够用CPU也不会动不动就满载。2核2G的等了便宜一时爽一旦OpenClaw跑多个自动化任务内存就会捉襟见肘。磁盘大小建议选默认的60GBOpenClaw本身没多大但Docker镜像和日志文件会慢慢积累。有一点容易被忽略购买页面通常会有一个“流量包”的选项轻量服务器自带基础流量包超出部分会额外计费。个人使用场景下默认流量包完全够用不用额外加钱升级。2.2 创建实例后第一时间做好的三件安全事服务器到手后先别急着装环境和部署安全配置必须先做好。很多新手服务器刚买回来不到一天就被扫描爆破原因就是裸奔上阵。第一件事改SSH端口和登录方式。默认的22端口是全网扫描器重点照顾对象建议登录后把SSH端口改成一个不常用的高位端口比如22983。改完之后再配合密码登录安全性会提升一个档次。当然如果你会用SSH密钥直接禁用密码登录更稳。第二件事在阿里云控制台配置防火墙规则。轻量服务器自带云防火墙默认会放行22端口但你后续要暴露的Web端口、API端口都需要在这里显式放行。比如OpenClaw的Web界面默认跑在某个端口你需要先在这个防火墙添加规则否则外面访问不到。轻量服务器控制台里的防火墙和Linux系统里的ufw是两层两者都要看清楚一个没放行就会卡半天。第三件事关闭root密码登录。Ubuntu镜像默认允许root通过密码登录这给暴力破解留下了空间。我会在后续章节使用普通用户加sudo的方式来操作这样即使有人猜到密码也拿不到最高权限。2.3 SSH连接工具怎么选新手推荐服务器安全组弄好后接下来要解决“怎么连上服务器”的问题。Windows用户我推荐直接使用PowerShell自带的SSH命令也可以装一个Xterminal或者MobaXterm。如果你是Mac用户直接用系统自带的“终端”即可输入ssh命令就能连上。我个人的习惯是第一次连接服务器用的是阿里云控制台自带的“远程连接”功能确认网络通了之后再在本地终端用SSH连。这样即使本地网络有问题也能先进入服务器排查。连接命令很简单ssh root你的服务器公网IP如果之前改了端口要加一个参数ssh -p 22983 root你的服务器公网IP首次连接会提示确认主机指纹输入yes回车然后输入密码。看到类似rootxxxx:~#的提示符说明你已经成功进入了服务器。这一步对老手来说是家常便饭但新手往往卡在“不知道怎么看公网IP”上。公网IP在阿里云轻量服务器控制台的“服务器详情”页面就能看到一般是一串类似47.98.xx.xx的数字。3. 从零开始装好运行环境3.1 Ubuntu系统初始化更新软件源进入服务器后建议先做一遍系统更新。这一步非常必要因为新买的服务器镜像可能包含过期软件源和已知安全漏洞。依次执行以下命令apt update这个命令会刷新软件源列表。然后升级现有软件包apt upgrade -y如果你在中国内地地域的服务器上apt源默认是阿里云内网源速度会非常快。这个过程可能会下载几百MB的更新包但基本上几分钟就能完成。升级完成之后顺手装几个后面会用到的工具让它们常驻系统apt install -y curl wget git unzip vim这里我多说一句为什么用vim而不是nano纯粹是我个人习惯新手如果觉得vim难用用nano也一样不影响后续操作。关键是能编辑文件。3.2 安装Docker并配置阿里云镜像加速接下来是重头戏安装Docker。你不需要手动去官网下载安装包直接用官方脚本就行curl -fsSL https://get.docker.com | bash这个脚本会自动检测操作系统并安装最新版Docker引擎。装完后先检查一下docker version能够看到客户端和服务端版本信息就说明装好了。但这里有个国内用户必须做的关键配置镜像加速。Docker默认从Docker Hub拉取镜像国内网络访问极慢经常几KB每秒甚至超时。好在阿里云给每个用户提供了免费的个人镜像加速地址。获取方法登录阿里云控制台搜索“容器镜像服务”进入“镜像加速器”页面复制你的专属加速地址通常是https://xxxx.mirror.aliyuncs.com。然后编辑Docker的配置文件vim /etc/docker/daemon.json没有这个文件就直接新建写入以下内容{ registry-mirrors: [https://xxxx.mirror.aliyuncs.com] }把xxxx换成你自己的加速地址。保存退出后重启Docker生效systemctl restart docker这里有个细节要注意如果你执行docker version时发现客户端正常但服务端Connection refused多半是Docker守护进程没起来执行systemctl status docker查看状态再用systemctl start docker启动即可。3.3 安装Docker Compose规划项目目录现在Docker装好了但为了后续编排方便我们还需要Docker Compose。新版本Docker自带插件可以用以下命令确认docker compose version如果有输出且版本号是2.x就直接用如果没有说明你的Docker版本太老需要单独安装。我的建议如果你的Docker版本不支持compose插件直接升级Docker别折腾单独的compose二进制文件了。接下来规划项目目录。不要随便在工作目录里乱建文件夹我推荐这样组织mkdir -p /opt/openclaw/data mkdir -p /opt/openclaw/config cd /opt/openclaw/opt目录是Linux下存放第三方应用的标准位置。data目录用来存放OpenClaw的运行时数据config目录存放配置文件。这样做的目的是让数据和容器解耦将来即使把容器删了重装数据还在不会丢。为什么再三强调目录规划因为我见过太多人图省事把配置文件随手放在/root下面结果版本升级或者容器重建配置文件被覆盖所有自动化任务归零。养成良好的目录习惯真能让你少走很多弯路。4. 用Docker部署OpenClaw全流程4.1 先拉取镜像还是直接写compose文件确认Docker环境正常后就到了核心部署环节。很多教程上来就让你docker pull openclaw/openclaw我的建议是直接跳过拉取镜像这一步先写docker-compose.yml然后通过compose自动拉取。原因是OpenClaw的官方镜像有些版本有标签区分比如latest、web如果你手动pull了一个不含Web界面的镜像后面还得重新搞。用compose文件可以明确指定镜像和运行模式一次性到位。我用的compose配置文件如下version: 3.8 services: openclaw: image: openclaw/openclaw:latest container_name: openclaw restart: unless-stopped ports: - 18642:18642 environment: - OPENAI_BASE_URLhttps://api.deepseek.com/v1 - OPENAI_API_KEYsk-xxxx - MODEL_NAMEdeepseek-chat - PORT18642 volumes: - /opt/openclaw/data:/root/.openclaw - /opt/openclaw/config:/app/config tty: true stdin_open: true这里的端口我只随便举了一个例子实际端口要根据OpenClaw最新版本的默认端口来定。如果官方默认端口变了改compose文件里的左右两侧映射即可。左边是宿主机端口右边是容器内端口。写好之后保存然后执行docker compose up -d-d参数是让容器在后台运行不会霸占你的终端。第一次运行时Docker会从镜像仓库拉取镜像配合前面配置的阿里云镜像加速速度一般是可接受的。启动后查看容器状态docker compose psSTATUS显示Up说明容器正常运行。如果有异常先别慌继续往下看日志排查。4.2 环境变量详解API地址和模型名怎么配置OpenClaw本质上是一个“调度中台”它要把你的任务发给大模型推理因此必须配置大模型的API。这一步是新手最容易迷糊的地方。核心环境变量有三个OPENAI_BASE_URL、OPENAI_API_KEY、MODEL_NAME。第一个是模型服务的接口地址。只要是兼容OpenAI接口格式的服务都可以填进去。国内可选择的有DeepSeek官方APIhttps://api.deepseek.com/v1对应的模型名是deepseek-chat或deepseek-reasoner硅基流动https://api.siliconflow.cn/v1模型名可选Qwen/Qwen2.5-7B-Instruct等阿里云百炼https://dashscope.aliyuncs.com/compatible-mode/v1模型名可选qwen-plus、qwen-max第二个是API Key。去对应平台的控制台创建一般都在“API Keys”或“密钥管理”页面。这里有一个过来人的建议OpenClaw的API Key最好用一个独立账号或独立Key不要用你生产环境的主Key。因为OpenClaw作为代理框架有可能会把Key暴露在某些日志或配置文件中一旦泄露损失可控。第三个是模型名。这里特别容易踩坑不同平台的模型名五花八门填错了后果通常是接口返回400错误日志里会报“model not found”。解决方法是去对应平台的文档里查或者直接在平台的控制台“模型广场”里复制。例如DeepSeek的模型名就是deepseek-chat不是deepseek也不是deepseek-v3。我还遇到过一种情况明明API配置都正确但OpenClaw就是不干活。后来发现是环境变量的大小写问题OPENAI_API_KEY少写了一个下划线。这种低级错误最容易浪费半小时配完之后一定要回头检查拼写。4.3 挂载目录的作用以及为什么要持久化数据在上面compose文件里我写了两组volume挂载volumes: - /opt/openclaw/data:/root/.openclaw - /opt/openclaw/config:/app/config第一行是把宿主机的/opt/openclaw/data目录挂载到容器内的/root/.openclaw。这个目录是OpenClaw保存运行时数据、日志、凭据的地方。如果不挂载容器一删所有登录状态和自动化任务配置全部消失等于白忙一场。第二行是把宿主机的/opt/openclaw/config挂载到容器内的/app/config。如果你希望手动修改OpenClaw的配置文件比如调整某个Skill、设置定时任务直接编辑宿主机目录里的文件即可容器内会同步生效。为什么强烈建议用挂载我讲一个真实经历有次我把OpenClaw从旧版本升级到新版本直接执行了docker compose down然后删掉了旧容器因为数据目录挂了宿主机升级之后所有配置和任务记录都还在。如果当时没做挂载数据就跟着容器一起没了那才叫欲哭无泪。如果你的数据目录权限不对容器启动时可能会报Permission denied。这种问题通常直接执行chmod -R 755 /opt/openclaw就能解决。注意执行完重启容器。4.4 首次启动验证OpenClaw是否真正跑起来配置写好后启动容器并观察日志是最直观的验证方式。执行docker logs -f openclaw-f参数表示持续跟踪日志。正常情况下你会看到类似“OpenClaw started”“API server listening on port xxx”的输出。如果日志里出现“Cannot find module”或者“Connection refused”基本可以断定是镜像问题或者网络问题。还有一种验证方式是直接在服务器本地测试Web接口。假设你映射的端口是18642在服务器上执行curl http://127.0.0.1:18642/health或者你可以在本地浏览器直接访问http://服务器公网IP:18642看起来是这样的页面并能正常响应说明服务已经跑通了。如果浏览器访问不到第一反应别去怀疑OpenClaw九成是阿里云轻量服务器控制台的“防火墙”里没有放行这个端口。去控制台找到“防火墙”菜单添加一条规则协议选TCP端口填18642授权对象填0.0.0.0/0保存之后刷新页面再看看。端口放行这个坑我至少见了不下十个人踩过。轻量服务器的云防火墙和ECS的安全组是两回事路径不一样但作用一样都是放行端口。如果你在系统里也装了ufw防火墙还需要在系统层面同时放行别漏了。5. 接入渠道让OpenClaw真正“用起来”5.1 通过Web界面认识OpenClaw容器跑起来之后OpenClaw默认会提供一个可交互的Web界面。这个界面叫“Claw Web”功能相当于一个在线聊天窗口只是对面不是真人而是你的AI助理。在浏览器访问http://服务器公网IP:18642打开后应该是登录界面。第一次访问会让你创建一个管理员账号这个操作是写进数据目录的下次登录用同一个账号即可。Web界面能做什么你可以直接在里面输入自然语言任务比如“帮我总结一下/data目录下最新的日志内容”“给我写一段Python脚本读取当前系统CPU使用率并输出成表格”。OpenClaw会解析你的意图调用相应的工具然后返回结果。对新手来说Web界面也是最好的调试入口。当你配置了新的API或Skill之后先在Web界面里跑一个最简单的任务比如“你好介绍一下你自己”确认整条链路都通再去配置IM接入。否则一上来就接微信、钉钉出了问题你根本分不清是IM的问题还是模型的问题。5.2 接入微信前必须知道的风控问题很多用户对OpenClaw最感兴趣的功能是接微信让它直接在对话窗口里帮忙干活。这里我把话说明白OpenClaw接微信和普通聊天机器人不同它用的是个人微信号登录这在平台侧是灰色地带存在账号风控、功能限制甚至封号的可能。网上有个很典型的现象就是“OpenClaw微信插件触发了iLinkAI服务端风控或会话残留”。我解释一下iLinkAI是OpenClaw微信接入链路里的一个中转网关当个人微信号通过它登录时如果短时间内大量发送消息、频繁切换会话或者账号行为模式异常就容易触发风控导致消息发不出去、会话状态残留、插件服务假死。我的建议是如果你一定要接入微信务必遵守几条红线。第一用小号测试。千万不要拿自己的主力微信号去接万一被限制登录代价非常大。第二控制任务频率。不要让OpenClaw在微信里执行每分钟一次的定时任务尽量把任务改成事件触发式。第三保持消息内容正常。别让它批量给好友发广告那是自寻死路。如果已经出现了“会话残留”问题常见处理方式是在OpenClaw的配置里清除微信会话缓存然后重启容器。我试过的路径是进入到数据目录找到对应的session缓存文件删掉之后重启服务让它重新登录微信。这个方法能解决大部分残留问题但如果你频繁遇到说明你的微信账号已经被重点关注建议立刻停止该渠道改用Web界面或企业微信机器人。为什么我在这一章反复强调风控因为部署OpenClaw本身是很稳的事情但接入个人微信是有不确定性的。我不希望读者看着教程把服务部署好了最后却因为违规接入把自己的账号搞没了。5.3 配置定时任务让自动化真正落地OpenClaw真正值钱的亮点在于“自主完成任务”而定时任务就是最典型的场景之一。你可以把OpenClaw理解成一个有大脑的闹钟到点自动唤醒读取任务列表执行动作然后汇报结果。比如每天早上9点让AI助理读取前一天未读邮件整理成摘要发到你的Web界面或者每天晚上10点统计服务器错误日志生成分析报告。OpenClaw的任务配置一般在/app/config挂载目录下的配置文件中。格式大致是schedules: - name: daily_report cron: 0 9 * * * task: 读取昨天的邮件并生成摘要写好后重启服务让它加载新配置docker compose restart配置定时任务有两个注意点。第一如果服务器时区不是UTC8定时时间会和你预期差8个小时建议在系统里执行timedatectl set-timezone Asia/Shanghai把时区改成中国标准时间。第二任务执行需要调用模型所以定时任务越密集API消耗越大要留意自己的API额度。6. 常见问题与排查技巧实录6.1 Windows下常见的“WSL2环境验证失败”怎么破虽然本教程主要在讲Linux服务器部署但我知道很多读者前期会在Windows上做验证然后才决定上服务器。网上经常能看到OpenClaw报错信息“Could not safely verify the WSL2 environment”。这个错误的背景是OpenClaw为了确保Docker容器能正常使用GPU和网络功能在启动时会检查宿主机是否具备有效的WSL2环境。Windows用户如果没装WSL2或者Docker Desktop的WSL2后端没启用就会看到这个报错。解决方法按顺序尝试第一确认已安装WSL2。在PowerShell里执行wsl --status如果没有安装执行wsl --install安装默认发行版。第二如果在公司电脑上可能是组策略禁用了WSL2这时只能换一台电脑或者直接上云服务器不必死磕。第三如果WSL2正常把Docker Desktop的Settings - General里的“Use the WSL 2 based engine”勾上然后重启Docker Desktop。第四步如果你用的不是Docker Desktop而是原生DockerWSL2验证通常不会报错报错多出现在Docker Desktop集成模式下。出现这个报错的大多数情况都是因为用户把Docker装到了非默认目录或者Windows版Docker和系统版本不兼容。我的个人建议是这种环境问题往往比部署本身更耗时与其在一台Windows电脑上反复折腾不如直接买一台轻量服务器在干净的Linux环境里一次性部署成功。6.2 微信插件触发iLinkAI风控和会话残留的完整对策这个主题我在第五章已经提过这里再展开讲一下具体操作。当你发现OpenClaw微信插件表现异常直接看容器的日志docker logs -f openclaw如果日志里出现“session expired”“risk control”“ilinkai”相关关键词说明微信登录状态已经失效或者被风控。处理步骤第一立即停止OpenClaw的微信渠道任务避免继续触发风控第二清除会话缓存。进入/opt/openclaw/data目录找到类似wechat_session或ilinkai_credentials的文件将其重命名或删除第三重启容器docker compose restart重启后OpenClaw会要求重新扫码登录微信用备用小号登录。如果扫码之后还是立刻被风控基本说明当前网络的设备指纹或IP已经被平台标记这时候你需要换一台服务器或者换一个微信号来接入了。这个问题的核心逻辑是个人微信不是为机器人设计的。任何自动化接入都会与平台的风控机制产生冲突区别只是发生频率问题。所以我一直建议把微信当成一类实验性渠道而不是核心生产力渠道。生产环境优先用Web界面、企业微信或钉钉机器人稳定性会大幅提升。6.3 容器日志排查三板斧服务跑不起来先别急着怀疑代码或者框架多半是运行环境问题。我总结了一套“三板斧”排查思路新手也能直接用。第一板斧是看容器是否在运行docker compose ps如果状态是Exited先看退出时的日志docker logs --tail 200 openclaw日志最后几行会告诉你退出原因。常见的是端口被占用、API Key配置错误、目录权限不对。把日志里的关键词记下来再去搜索解决方案。第二板斧是确认端口监听情况。在服务器上执行netstat -tlnp | grep 18642如果这条命令没有任何输出说明容器内进程可能没有起来如果是0.0.0.0:18642说明监听正常。如果发现端口被另一个进程占用了需要停掉冲突进程或者换一个外部端口映射。第三板斧是检查网络连通性。很多新手部署成功后Web界面刷不出来第一反应是去服务器里瞎折腾。正确的做法是先判断问题在哪个层面在你本地电脑执行ping 服务器IP再执行telnet 服务器IP 18642如果ping通但telnet不通问题在防火墙如果ping都不通问题在服务器网络。这三步走完大部分问题基本可以定位。剩下的问题大多和OpenClaw本身的配置有关把日志贴到社区或GitHub issue区很快就能得到反馈。6.4 服务器安全加固和资源监控OpenClaw部署好了不代表一切完事。长期运行的服务器如果不管不顾迟早会出问题。我强烈建议大家至少做两件事安全加固和资源监控。安全加固方面最实用的是用fail2ban自动封禁暴力破解的IP。安装很简单apt install -y fail2ban配置好后它会自动监控SSH登录日志连续失败5次就封禁这个IP十分钟。我实际用下来这个工具可以挡住绝大多数脚本扫描和暴力破解。资源监控方面轻量服务器控制台自带CPU、内存、宽带监控面板但粒度较粗。我更推荐自己装一个轻量的监控命令直接看实时资源占用docker stats这个命令会展示每个容器的CPU、内存、网络使用情况。OpenClaw容器如果内存长期超过1GB你需要留意是不是任务太频繁或者模型API返回的数据量太大可以考虑降低任务频率或优化Prompt。还有一个很多人没注意到的坑Docker容器日志默认会无限增长时间长了会占满磁盘。建议在/etc/docker/daemon.json里加上日志滚动配置{ log-driver: json-file, log-opts: { max-size: 50m, max-file: 3 } }这样每个容器的日志文件最大只保留150MB不会把磁盘吃爆。配置完同样要重启Docker生效。我觉得OpenClaw这类工具最迷人的地方是它能把AI能力变成“可调度的服务”而不是一个聊天框。真正上手之后你会慢慢发现很多重复劳动都能交给它打理。但前提是服务要稳服务器要安全这两件事做到了剩下的事就是尽情发挥想象力了。