1. 从零到一：为什么选择宝塔面板部署OpenClaw？

如果你最近在折腾AI应用，尤其是想自己搞一个能调用各种大模型的智能助手，那“OpenClaw”这个名字你肯定不陌生。它本质上是一个开源的AI Agent框架，能帮你把ChatGPT、Claude、DeepSeek这些大模型的能力，像搭积木一样组合起来，实现一些自动化的工作流。听起来很酷，对吧？但真到部署的时候，很多人就卡住了：环境配置复杂、依赖项冲突、网络代理问题……一堆报错能让你从入门到放弃。

这就是为什么我今天要跟你聊聊用宝塔面板来部署OpenClaw。你可能觉得宝塔就是个建站面板，跟AI部署八竿子打不着。但恰恰相反，对于绝大多数非专职运维的开发者或者爱好者来说，宝塔面板是降低部署门槛的“神器”。它把Nginx、Docker、Python环境、SSL证书这些繁琐的配置，全都变成了图形界面上点几下的事情。我们的目标很明确：避开那些让人头疼的源码编译、手动改Nginx配置的坑，利用宝塔的成熟生态，在10分钟内，把一个带HTTPS安全访问和反向代理的OpenClaw服务稳稳当当地跑起来。

我选择这个方案，是因为我见过太多人在 docker-compose up 之后，对着 openclaw llamap svr operator(): got exception 或者 stream disconnected before completion 这类网络错误束手无策。手动处理反向代理和HTTPS，对于不常接触服务器配置的朋友来说，就是一个“黑盒”。而宝塔面板相当于给你提供了一个可视化的“操作台”，每一步操作都看得见摸得着，出了问题也更容易定位。接下来，我就带你走一遍这个“保姆级”的流程，你会发现，原来部署一个AI应用可以这么简单。

2. 部署前的核心准备：环境与资源梳理

在点击任何安装按钮之前，理清我们需要什么，是避免后续连环坑的关键。OpenClaw的运行依赖于几个核心部分，而宝塔面板是我们的“总装车间”。

2.1 服务器与宝塔面板基础

首先，你需要一台服务器。国内的腾讯云、阿里云，或者海外的VPS都可以。操作系统强烈推荐 CentOS 7.x / 8.x 或 Ubuntu 20.04 / 22.04 ，这是宝塔面板兼容性最好的系统。配置上，由于OpenClaw本身是框架，资源消耗主要取决于你后面接入的大模型。如果只是体验和测试， 2核CPU、4GB内存、50GB硬盘 的配置是起步线。如果想更流畅地运行一些轻量级模型（比如Qwen2.5-7B之类的），建议4核8G以上。

拿到服务器后，第一件事就是安装宝塔面板。这里有个小细节：去宝塔官网（bt.cn）获取最新的安装命令。对于CentOS，通常是一条 yum install -y wget && wget -O install.sh [宝塔安装脚本地址] && sh install.sh 的命令。安装过程中，它会提示你设置面板的访问端口（默认8888）和账号密码，务必记牢。

安装完成后，通过 http://你的服务器IP:8888 访问面板。首次登录会推荐你安装一套“LNMP”或“LAMP”环境。对于OpenClaw，我们只需要 Nginx 和 Docker 。所以在这个推荐界面，你可以只勾选Nginx（版本选稳定版如1.22）和Docker管理器（宝塔插件市场里搜索安装），其他的如MySQL、PHP可以暂时不装，保持环境纯净。

2.2 理解OpenClaw的运行依赖与获取方式

OpenClaw通常通过Docker镜像来分发，这是目前最主流的部署方式，能完美解决环境依赖问题。你不需要在宿主机上折腾Python版本、Pytorch、CUDA这些令人头大的东西，Docker镜像里全都打包好了。

那么，镜像从哪里来？通常项目方会提供镜像地址，比如 some-registry/openclaw:latest 。但是，根据你提供的网络热词，我注意到一个关键点：很多人会遇到从 https://chatgpt.com 或 https://github.chm 等地址拉取资源失败的问题。这往往不是镜像本身的问题，而是 网络连通性 问题。Docker在拉取海外镜像时，可能会非常慢甚至超时。

这里就是第一个实操心得： 配置Docker镜像加速器 。在宝塔面板的“Docker管理器”插件中，通常有“配置加速”的选项。你可以填入国内常用的镜像加速地址，例如阿里云、腾讯云、中科大的镜像加速器。这能极大提升拉取镜像的成功率和速度。如果加速后仍无法拉取特定镜像，你可能需要寻找该镜像在国内镜像站（如阿里云容器镜像服务、DaoCloud）的同步版本，或者通过其他方式获取镜像包再导入。

另外，OpenClaw的运行可能需要访问外部API（如OpenAI接口），这就涉及到服务器本身的网络出口问题。你需要确保你的服务器IP能够访问这些必要的服务。这部分问题无法通过面板解决，需要在购买服务器时或通过服务器提供商的后台进行配置。

3. 核心战役：使用Docker部署OpenClaw服务

环境就绪，现在进入核心操作阶段。我们将完全在宝塔面板的图形界面内完成OpenClaw的Docker容器部署。

3.1 拉取与运行OpenClaw镜像

打开宝塔面板的“Docker管理器”。在“镜像管理”页面，有一个“拉取镜像”的输入框。这里你需要输入正确的OpenClaw镜像名称。由于OpenClaw项目可能有多个变体或版本，请以项目官方文档为准。例如，你可能需要拉取 openclaw/openclaw:latest 或某个特定版本标签。

输入镜像名后点击“拉取”。如果配置了加速器，这个过程会快很多。拉取成功后，镜像会出现在下方的镜像列表中。

接下来是关键的一步：创建容器。点击“容器列表”页面的“创建容器”。

  1. 基础设置 ：从刚拉取的镜像创建。给容器起个名字，比如 openclaw-app 。
  2. 端口映射 ：这是连通容器内外的桥梁。OpenClaw的Web服务通常会在容器内的某个端口监听，比如 7860 或 3000 （具体看镜像说明）。我们需要将它映射到宿主机的某个端口。假设容器内端口是 7860 ，我们将其映射到宿主机的 17860 端口。这样，你通过 http://服务器IP:17860 就能访问到容器内的服务。在宝塔界面，添加一条端口映射：容器端口 7860 ，服务器端口 17860 ，类型 tcp 。
  3. 目录映射（可选但重要） ：如果你希望OpenClaw的配置、日志或生成的数据持久化（即容器重启后不丢失），就需要做目录映射。例如，将宿主机的 /www/wwwroot/openclaw/data 目录，映射到容器内的 /app/data 目录。这样，所有数据都保存在了宿主机上。
  4. 环境变量 ：很多配置可以通过环境变量传入。例如，设置时区 TZ=Asia/Shanghai ，或者传入一些API密钥（如 OPENAI_API_KEY=sk-xxx ）。这比进入容器修改配置文件要方便和安全得多。在宝塔的创建容器界面，可以方便地添加环境变量键值对。
  5. 重启策略 ：建议设置为“总是”，这样服务器重启后，容器会自动运行。

配置完成后，点击“提交”，容器就会创建并启动。你可以点击容器右侧的“日志”按钮，查看启动过程是否有报错。如果看到服务成功监听在 7860 端口的日志，那么恭喜你，OpenClaw的核心服务已经跑起来了。现在，你应该能通过 http://你的服务器IP:17860 访问到OpenClaw的初始界面。

3.2 初跑验证与常见启动问题排查

访问 http://你的服务器IP:17860 ，如果能看到OpenClaw的Web界面，说明Docker部署基本成功。但很多时候，我们可能会遇到“无法访问此网站”的提示。别急，按顺序排查：

  1. 检查容器状态 ：回到宝塔Docker管理器，确认 openclaw-app 容器的状态是“运行中”。如果不是，查看日志，错误信息会直接告诉你原因，比如“端口已被占用”、“镜像启动命令错误”等。
  2. 检查防火墙 ：这是最容易被忽略的一环。宝塔面板有自带的“安全”模块，里面管理着防火墙（firewalld或ufw）。你刚刚映射的服务器端口 17860 ，必须在这里放行。添加一条规则，端口 17860 ，协议 TCP ，备注可以写“OpenClaw”。
  3. 检查服务器提供商的安全组 ：如果你用的是云服务器（阿里云、腾讯云等），除了宝塔防火墙，云平台本身还有一个“安全组”或“防火墙”配置。你必须登录云服务器控制台，找到对应的安全组规则，同样添加入站规则，允许 17860 端口的TCP流量。
  4. 检查服务是否真的在监听 ：在宝塔面板的“终端”里，执行命令 netstat -tlnp | grep 17860 。如果能看到 17860 端口处于 LISTEN 状态，并且进程是Docker的，说明映射成功。如果看不到，可能是容器内的服务没启动，回去看容器日志。

如果日志里出现类似 openclaw llamap svr operator(): got exception 的错误，这通常是OpenClaw在初始化某个模块（比如LLM连接器）时出了问题，可能的原因是配置文件错误、网络无法连接到指定的大模型API地址、或者缺少某个依赖。这时你需要根据具体的错误信息，去查阅OpenClaw项目的Issue或文档，这已经超出了宝塔部署的范畴，属于应用本身的配置问题。

4. 关键加固：为OpenClaw配置HTTPS与反向代理

直接通过IP加端口访问，既不安全也不优雅。我们的目标是实现 https://yourdomain.com 这样的方式访问，并且隐藏背后的端口。这就需要用到宝塔的强项：网站管理和SSL证书。

4.1 在宝塔面板中创建网站与配置SSL

首先，你需要有一个已经解析到当前服务器IP的域名。假设你的域名是 ai.yourdomain.com 。

在宝塔面板的“网站”模块，点击“添加站点”。

  1. 域名 ：填写你的域名，例如 ai.yourdomain.com 。你可以同时把 www.ai.yourdomain.com 也填上。
  2. 根目录 ：这个目录是用于存放网站静态文件的。对于OpenClaw这种反向代理的场景，根目录本身不重要，可以设置为一个默认目录，比如 /www/wwwroot/ai.yourdomain.com 。宝塔会自动创建它。
  3. FTP和数据库 ：这些都不需要，因为我们不在这里运行PHP或静态网站。
  4. 点击“提交”，站点就创建好了。

接下来是获取SSL证书，实现HTTPS。宝塔面板集成了Let‘s Encrypt的免费证书申请，非常方便。 在网站列表里，找到你刚创建的站点，点击右侧的“设置”。进入“SSL”选项卡，选择“Let‘s Encrypt”。勾选你要申请证书的域名（通常是刚填的那个），选择“文件验证”方式（最简单），然后点击“申请”。宝塔会自动完成域名验证和证书签发，全程通常不到一分钟。

申请成功后，记得开启“强制HTTPS”选项。这样，当用户访问 http://ai.yourdomain.com 时，会自动跳转到 https://ai.yourdomain.com 。

4.2 配置Nginx反向代理指向Docker服务

现在，我们有了一个带HTTPS的网站外壳，但里面是空的。我们需要让这个网站把所有的请求，都转发给运行在 17860 端口的OpenClaw Docker服务。这就是反向代理。

继续在站点的“设置”里，这次进入“反向代理”选项卡。

  1. 点击“添加反向代理”。
  2. 代理名称 ：可以随意，比如 openclaw_proxy 。
  3. 目标URL ：这是最关键的一步。这里应该填写 http://127.0.0.1:17860 。 注意，一定是 http ，不是 https 。因为我们代理的是容器内HTTP服务，SSL终止在Nginx这一层。 127.0.0.1 表示本地回环地址，因为Nginx和Docker容器在同一台服务器上。
  4. 点击“提交”。

宝塔会自动在Nginx的站点配置文件中，生成类似下面的一段配置：

location / {
    proxy_pass http://127.0.0.1:17860;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
}

最后两行 Upgrade 和 Connection 的配置非常重要，如果OpenClaw的Web界面使用了WebSocket进行实时通信（很多AI应用界面会用到），没有这两行，WebSocket连接将无法建立，导致功能异常。

配置完成后，点击“保存”。Nginx配置会自动重载。现在，你尝试访问 https://ai.yourdomain.com ，应该就能看到和之前 http://服务器IP:17860 一模一样的OpenClaw界面了，而且地址栏会有安全的锁标志。

4.3 反向代理过程中的高频“坑”与解决方案

到这里，看似大功告成，但以下几个坑，90%的人都会遇到：

坑一：502 Bad Gateway 这是最常见的问题。访问域名出现502错误。

  • 排查思路 ：
    1. 检查目标服务 ：首先确认你的Docker容器是否在正常运行。在终端执行 docker ps 看看 openclaw-app 的状态。
    2. 检查端口 ：确认Nginx反向代理配置中的端口（ 17860 ）是否和Docker容器映射的宿主机端口一致。
    3. 检查网络连通性 ：在宝塔终端里，执行 curl http://127.0.0.1:17860 。如果返回错误或无法连接，说明容器内的服务可能没起来，或者监听地址不对（有些服务默认只监听 127.0.0.1 ，需要改为 0.0.0.0 ）。你需要进入容器检查服务配置。
    4. 查看Nginx错误日志 ：在宝塔网站设置的“日志”选项卡里，查看“错误日志”，里面通常会有更详细的错误信息，比如“connection refused”或“timeout”。

坑二：静态资源（CSS、JS）加载失败，页面样式错乱 这是因为OpenClaw前端页面的一些资源路径，在经过了反向代理后可能找不到。

  • 解决方案 ：这通常需要修改OpenClaw本身的Web配置，或者更精细地配置Nginx。一个常见的处理办法是，在宝塔的反向代理配置中，或者直接在站点的“配置文件”里，为静态资源路径添加单独的处理规则。例如，如果静态资源在 /static 路径下，可以尝试添加： 
    location /static/ {
    proxy_pass http://127.0.0.1:17860/static/;
    # 可以适当设置缓存
    expires 30d;
}
    更根本的解决方法是确保OpenClaw应用在构建时，使用了正确的根路径（Base URL）配置。

坑三：WebSocket连接失败，实时功能无效 表现为消息发送后无响应，或控制台报WebSocket错误。

  • 解决方案 ：这就是为什么前面强调要在反向代理配置中加入 Upgrade 和 Connection 头。请务必检查宝塔生成的反向代理配置里是否包含了那两行。如果没有，你需要手动编辑站点的Nginx配置文件（在“设置”->“配置文件”里），在 location / 块中加上。

坑四：上传文件大小限制 如果OpenClaw有文件上传功能（例如上传文档让AI分析），可能会遇到Nginx默认限制上传大小（通常为1MB）的问题。

  • 解决方案 ：在宝塔网站设置的“配置文件”中，在 http 或 server 块内，添加 client_max_body_size 100m; （例如设置为100MB），然后重载Nginx。

5. 部署后的精调与维护要点

服务跑通只是第一步，要让OpenClaw稳定、好用，还需要一些后续的调整和观察。

5.1 性能监控与日志管理

宝塔面板自带的“监控”功能可以让你直观地看到服务器的CPU、内存、磁盘和网络流量。在OpenClaw运行期间，特别是执行一些复杂任务时，多观察这里，可以判断当前服务器配置是否够用。

日志是排错的黄金资料。OpenClaw的日志分为两部分：

  1. 容器日志 ：在宝塔Docker管理器中，点击容器对应的“日志”按钮查看。这里记录了应用的标准输出和错误。
  2. 应用日志 ：如果部署时做了目录映射，OpenClaw生成的日志文件会保存在你映射的宿主机目录里（例如 /www/wwwroot/openclaw/data/logs ）。定期查看这些日志，能帮你了解应用的运行状态和潜在错误。

建议将重要的日志目录，在宝塔的“计划任务”里设置定期切割和备份，防止日志文件过大占满磁盘。

5.2 配置更新与版本升级

OpenClaw项目本身会迭代更新。当有新版本镜像发布时，升级流程应该是：

  1. 在宝塔Docker管理器中，停止旧的 openclaw-app 容器。
  2. 拉取新的镜像版本（如 openclaw/openclaw:latest ）。
  3. 基于新镜像创建一个新的容器。 这里有个关键技巧 ：创建新容器时，使用与旧容器 完全相同的配置 ——特别是 目录映射 和 环境变量 。这样你的所有数据和配置都会保留。
  4. 启动新容器，测试功能是否正常。
  5. 确认无误后，可以删除旧的容器和旧的镜像，释放空间。

重要提醒 ：在升级前，务必确认新版本的配置项或数据格式是否有不兼容的变更。最好先查阅项目的更新日志（Changelog）。

5.3 安全加固建议

虽然宝塔和HTTPS提供了基础安全，但还有几点可以加强：

  1. 修改宝塔默认端口 ：将面板的访问端口从默认的8888改为一个不常用的高端口号，可以减少被自动化脚本扫描的风险。
  2. 设置面板访问域名 ：在宝塔面板的“面板设置”中，绑定一个只有你自己知道的域名，并仅允许通过该域名访问面板，禁止IP直接访问。
  3. 定期备份 ：利用宝塔的“计划任务”功能，定期将你映射出来的OpenClaw数据目录（包含配置和可能的数据）打包备份到另一个地方，比如对象存储或另一台服务器。
  4. 容器资源限制 ：在宝塔创建Docker容器时，可以设置CPU和内存的使用上限，防止单个容器资源占用过高影响宿主机的其他服务。

走到这一步，你的OpenClaw应该已经是一个可以通过域名安全访问、具备基本可维护性的服务了。这套“宝塔+Docker+反向代理”的组合拳，其价值不仅仅在于部署OpenClaw。它实际上为你提供了一套应对大多数现代Web应用（尤其是那些提供Docker镜像的应用）的标准化部署流程。下次当你遇到另一个类似的开源项目时，完全可以套用这个思路：拉镜像、映射端口、宝塔建站、配置SSL和反向代理。你会发现，很多曾经复杂的部署任务，现在真的能在10分钟内找到突破口。

Logo
亚马逊云科技技术品牌专区

更多推荐

cover

DeepSeek API涨价500%！Agent框架同步开源

avatar 亚马逊云科技技术品牌专区
cover

Agent Run 的状态机：别把智能体交给 LLM 自己管

avatar 亚马逊云科技技术品牌专区
cover

【python】【FastAPI 进阶】《FastAPI 异步内核剖析：中间件链与 SQLAlchemy 异步驱动的全链路非阻塞实践》

avatar 亚马逊云科技技术品牌专区