大厂男孩的粉丝1. 我为什么把OpenClaw从Windows搬到了阿里云
2026年这会，OpenClaw（也就是当年的Clawdbot）早就成了自托管AI智能体圈子里绕不开的名字。我第一次接触它是在Windows 11笔记本上，用PowerShell一条命令装好，连上DeepSeek的API，看着它在workspace里自己创建文件、执行命令、调度Skill，说实话挺震撼的——这玩意儿真不是个聊天玩具，它是能真干活的Agent。
但连续用了两周之后，问题全冒出来了：笔记本一合盖，Agent就断线；早上带去公司，家里的定时任务全部失联；本地跑Ollama模型时风扇狂转，CPU直接顶满，开会的时候旁边同事都看我电脑。更要命的是，我为了图方便，把OpenClaw的Web界面直接监听在局域网IP上，结果有一天日志里出现了来自外网的扫描记录，吓得我赶紧改了配置。
这就是我把OpenClaw搬到阿里云的直接原因。云服务器有几个本机比不了的优势：一是24小时在线，Agent本来就是干活的，不是等人开机才动的；二是网络环境干净，有固定公网IP，配合域名和安全组能严格管控访问；三是算力扩展自由，本地跑不动的大模型推理，可以换GPU实例，也可以让Agent只做编排调度，推理交给云端API。
这套方案解决的核心问题就一句话：让OpenClaw成为一个真正7x24小时待命的数字员工，而不是你电脑里的一个会发光的窗口。 往下写的内容都是我实际部署过程中反复折腾后沉淀下来的，基本照着做就能跑通，适用的场景包括个人知识库Agent、定时信息采集、自动化运维脚本执行、多Agent协作这类需求。
1.1 本地跑Agent的那些绕不开的坑
先说清楚为什么本地部署不适合长期跑Agent，这样你才不会像我一样先踩一遍。首先，家用网络大多是动态公网IP，就算你在路由上做了端口映射，IP一变所有配置全部失效。其次，笔记本和台式机的休眠策略、系统更新强制重启、Windows Defender偶尔拦截执行文件，这些都会让Agent在半夜静默挂掉。你有多少次早上醒来发现昨晚的定时任务压根没执行？我经历过至少五次。
另外还有一个很实际的问题：权限与安全边界。本地机器上跑的Agent，理论上能访问你所有个人文件、浏览器Cookie、微信聊天记录。OpenClaw的执行审批机制（exec-approvals）就是为了防止Agent乱来，但一旦你图省事在本地按了"全部允许"，风险就完全敞开了。而云服务器作为一台独立的、只跑Agent业务的主机，你可以把权限边界收敛得很干净：它只操作workspace目录，只调用放行的API，即使出了安全问题，损失面也远小于个人电脑。
1.2 云部署后的整体架构
我最终在阿里云上的部署架构是这样的：一台Ubuntu 22.04的云服务器作为底座，OpenClaw以systemd服务方式运行（后续又验证了Docker路线，下文会细讲）；Agent的模型推理走DeepSeek的OpenAI兼容接口，部分本地知识库场景走服务器上的Ollama（qwen2.5:7b）；Web管理界面通过Nginx反代，绑定了自己的域名并配置了阿里云免费SSL证书，只开放80和443端口；SSH端口只对固定IP白名单放行。整个架构非常简洁，但每个节点的选型都是有原因的，后面逐一展开。
1.3 这套方案适合谁
结合最近社群里的提问热度，我觉得可以明确一下：如果你只是想在电脑上玩一玩OpenClaw，体验一下Agent对话和Skill调用，那就留在Windows本机，没必要上云；但如果你打算让Agent承担自动日报、定时巡检、网页信息抓取、跨平台通知这类持续性任务，或者你需要在手机上随时远程指挥Agent干活，那么云部署是唯一靠谱的选择。本文主要面向后者，同时也适合那些在阿里云上已经有了ECS或轻量服务器、想直接把OpenClaw塞进去的朋友。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 动手前的准备清单：服务器选型与网络规划
在服务器上敲第一条命令之前，花半小时把下面这几件事想清楚，能省下后面几天排错的时间。我见过太多人买完服务器就跑，结果端口没开、Swap没配、域名没解析，最后全都折在环境问题上，还以为是自己安装姿势不对。
2.1 阿里云服务器配置怎么选
先给一个可以直接照抄的参考配置表。OpenClaw本身很轻量，它的主要开销在模型推理和Skill脚本执行上。
| 使用场景 | 推荐规格 | 系统盘 | 带宽 | 备注 |
|---|---|---|---|---|
| 纯Agent调度，模型走云端API（DeepSeek等） | 2核4G | 40G ESSD | 3M峰值 | 最常用的入门配置，够跑日常任务 |
| 需要本地跑Ollama小模型（7B以下） | 4核8G | 60G ESSD | 5M峰值 | 推理时内存吃紧，建议8G起步 |
| 多Agent并行或跑14B以上大模型 | 8核16G | 100G ESSD | 10M峰值 | 预算充足再上，本地推理很吃资源 |
| 要用NVIDIA NIM做本地推理 | GPU实例（按需选择） | 100G以上 | 5M峰值 | 优先选带GPU的规格，详见模型接入章节 |
如果你只是先实验，选2核4G的轻量应用服务器就行，新用户活动价通常很划算。系统镜像一定要选Ubuntu 22.04 LTS或24.04 LTS，别问为什么不用CentOS，OpenClaw官方脚本对Ubuntu的支持最省心，依赖冲突最少。
2.2 安全组端口规划：别把Agent裸奔在外面
这是很多新手最容易忽略、也是最容易出事故的一环。阿里云的安全组是独立于服务器防火墙的一道闸门，默认只放行了22端口和几个常见端口，但你买完实例之后要检查一下。
我给自己的服务器做的安全组规则如下：
- 22端口：只允许自己的固定IP访问（没有固定IP的话，至少设置一个强密码+密钥登录）；
- 80和443端口：对全网开放，配合Nginx和域名使用，这是Agent对外提供Web服务的入口；
- 18789端口（OpenClaw Web UI默认端口）：绝对不要直接开放到公网，用Nginx反代并通过域名访问，或者干脆只允许内网访问，需要用的时候再通过SSH隧道转发；
- 11434端口（Ollama）：默认不开放，需要从外部调用时选择"指定IP白名单"方式放行，或者干脆只允许本机访问。
这个端口规划看起来不起眼，但它决定了你的Agent服务到底是被全世界随意调用，还是只有你能访问。这里多说一句：OpenClaw的Web界面本身是有访问鉴权的，但网上已经有不少扫描器在自动探测这类Agent服务端口，一旦被扫描到又没配鉴权，轻则被刷爆API额度，重则被操控执行命令，所以端口收敛必须做在前面。
2.3 域名解析与SSL证书提前备好
建议在部署OpenClaw之前就绑定一个域名，哪怕是二级域名也行。这样做有两个实际好处：
第一，OpenClaw的Web界面在HTTPS环境下工作最稳定，很多浏览器功能（比如语音输入、剪贴板读取）在HTTP下会被直接禁用；第二，以后你给Agent配回调地址、Webhook、OAuth登录的时候，一个固定域名远比裸IP历史演变要省事得多。
阿里云域名解析很简单：在云解析DNS控制台添加一条A记录，指向服务器的公网IP。SSL证书可以直接在阿里云数字证书管理服务里申请免费证书（一般是一年期，到期前会有续期提醒，也可以在控制台开启自动续期）。下载证书时选择nginx格式，会得到一个.pem证书文件和一个.key私钥文件，这两个文件一会儿在Nginx配置里要用到。
2.4 服务器基础环境：Ubuntu + Docker顺手装好
登录服务器后，先做三件基础工作：
bash复制#