Przejdź do głównej treści

​
Sieć (Gateway)

Gateway udostępnia niewielki przeglądarkowy Control UI (Vite + Lit) z tego samego portu co WebSocket Gateway:
  • domyślnie: http://<host>:18789/
  • opcjonalny prefiks: ustaw gateway.controlUi.basePath (np. /openclaw)
Możliwości są opisane w Control UI. Ta strona koncentruje się na trybach bindowania, bezpieczeństwie oraz powierzchniach dostępnych z poziomu WWW.

​
Webhooki

Gdy hooks.enabled=true, Gateway udostępnia także niewielki endpoint webhooka na tym samym serwerze HTTP. Zobacz Konfiguracja Gateway → hooks w zakresie uwierzytelniania i ładunków.

​
Konfiguracja (domyślnie włączona)

Control UI jest włączony domyślnie, gdy zasoby są obecne (dist/control-ui). Można nim sterować poprzez konfigurację: 
{
  gateway: {
    controlUi: { enabled: true, basePath: "/openclaw" }, // basePath optional
  },
}

​
Dostęp przez Tailscale

​
Zintegrowany Serve (zalecane)

Pozostaw Gateway na local loopback i pozwól, aby Tailscale Serve pośredniczył w dostępie: 
{
  gateway: {
    bind: "loopback",
    tailscale: { mode: "serve" },
  },
}
Następnie uruchom gateway: 
openclaw gateway
Otwórz:
  • https://<magicdns>/ (lub skonfigurowany gateway.controlUi.basePath)

​
Bind do tailnet + token

{
  gateway: {
    bind: "tailnet",
    controlUi: { enabled: true },
    auth: { mode: "token", token: "your-token" },
  },
}
Następnie uruchom gateway (wymagany token dla bindów innych niż loopback): 
openclaw gateway
Otwórz:
  • http://<tailscale-ip>:18789/ (lub skonfigurowany gateway.controlUi.basePath)

​
Publiczny internet (Funnel)

{
  gateway: {
    bind: "loopback",
    tailscale: { mode: "funnel" },
    auth: { mode: "password" }, // or OPENCLAW_GATEWAY_PASSWORD
  },
}

​
Uwagi dotyczące bezpieczeństwa

  • Uwierzytelnianie Gateway jest wymagane domyślnie (token/hasło lub nagłówki tożsamości Tailscale).
  • Bindowanie poza loopback nadal wymaga współdzielonego tokenu/hasła (gateway.auth lub zmienna środowiskowa).
  • Kreator generuje token gateway domyślnie (nawet na loopback).
  • UI wysyła connect.params.auth.token lub connect.params.auth.password.
  • Control UI wysyła nagłówki anti-clickjacking i akceptuje wyłącznie połączenia WebSocket z tej samej domeny przeglądarki, chyba że ustawiono gateway.controlUi.allowedOrigins.
  • Przy Serve nagłówki tożsamości Tailscale mogą spełnić wymagania uwierzytelniania, gdy gateway.auth.allowTailscale ma wartość true (token/hasło nie są wymagane). Ustaw gateway.auth.allowTailscale: false, aby wymagać jawnych poświadczeń. Zobacz Tailscale oraz Bezpieczeństwo.
  • gateway.tailscale.mode: "funnel" wymaga gateway.auth.mode: "password" (współdzielone hasło).

​
Budowanie interfejsu

Gateway serwuje pliki statyczne z dist/control-ui. Zbuduj je poleceniem: 
pnpm ui:build # auto-installs UI deps on first run