容器化部署OpenClaw提供虚拟安全服务文档

文档版本：V1.0

编写日期：2026.04.08

一、项目概述

本项目核心目标是通过Docker容器化技术，将OpenClaw（openClaw）服务部署在隔离环境中，依托容器的隔离特性保障宿主机安全，同时实现虚拟安全服务的稳定运行。容器化部署可降低服务与宿主机的耦合度，避免服务直接运行于宿主机带来的权限风险、环境污染等问题，提升服务部署的便捷性、可迁移性与安全性。

二、基础环境说明

• 基础镜像：已提前构建完成，镜像名称为 python310-opjdk8-opclaw:v3.0，包含Python3.10、OpenJDK8及OpenClaw核心组件，可直接复用。

• 宿主机要求：支持Linux x86_64架构（如CentOS、Ubuntu、国产麒麟系统等），已安装Docker、Docker Compose工具。

• 服务端口：OpenClaw本地默认监听127.0.0.1:18789，需通过socat转发至18799端口，对外暴露18799端口供访问。

三、目录映射配置

为实现服务数据持久化、源码可修改，需将宿主机指定目录与容器内目录进行映射，仅挂载必要目录，保障宿主机文件安全，具体映射规则如下：

宿主机路径	容器内路径	用途说明
/data/openclaw	/data/openclaw	openClaw源码目录，用于存放服务核心代码，宿主机修改后容器内可同步生效，且OpenClaw启动命令（pnpm openclaw gateway run）需在此目录下执行
/data/openclaw/rootdata	/root/.openclaw	OpenClaw用户数据目录，存放服务运行配置、日志等数据，实现数据持久化

宿主机需提前创建映射目录，执行以下命令：

bash mkdir -p /data/openclaw mkdir -p /data/openclaw/rootdata

四、容器内端口转发配置（socat）

OpenClaw本地部署模式下，仅监听容器内127.0.0.1:18789端口，无法直接对外访问，需通过socat工具实现端口转发，将18789端口转发至18799端口，具体配置如下：

容器内执行端口转发命令：

bash socat TCP-LISTEN:18799,fork TCP:127.0.0.1:18789

命令说明：

• TCP-LISTEN:18799：容器内监听18799端口，接收外部访问请求；

• fork：允许多连接并发访问；

• TCP:127.0.0.1:18789：将18799端口的请求转发至OpenClaw本地监听的18789端口。

五、Dockerfile编写

基于已有的基础镜像，编写Dockerfile实现socat工具安装及服务启动配置，具体内容如下：

dockerfile FROM python310-opjdk8-opclaw:v3.0 # 设置工作目录为源码目录（启动命令需在此目录执行） WORKDIR /data/openclaw # 安装socat端口转发工具 RUN apt update && apt install -y socat # 启动命令：先执行端口转发，再在/data/openclaw目录下启动OpenClaw服务 CMD ["sh", "-c", "socat TCP-LISTEN:18799,fork TCP:127.0.0.1:18789 & pnpm openclaw gateway run"]

六、Docker Compose编排配置

使用Docker Compose统一管理容器的启动、端口映射、目录挂载等配置，实现一键部署，编写docker-compose.yml文件如下：

yaml version: '3.8' services:   openclaw:     # 基于当前目录的Dockerfile构建镜像     build: .     # 指定使用的基础镜像     image: python310-opjdk8-opclaw:v3.0     # 容器名称，便于管理     container_name: openclaw-sec     # 容器异常时自动重启，保障服务可用性     restart: always     # 端口映射：宿主机18799端口映射至容器18799端口     ports:       - "18799:18799"     # 目录挂载，对应前文规划的映射规则     volumes:       - /data/openclaw:/data/openclaw       - /data/openclaw/rootdata:/root/.openclaw     # 禁用特权模式，遵循最小权限原则，保障宿主机安全     privileged: false     # 网络模式采用bridge，与宿主机网络隔离     network_mode: bridge

七、部署与启动步骤

7.1 进入部署目录

将编写好的Dockerfile、docker-compose.yml文件放入宿主机/data/openclaw目录，进入该目录执行部署操作：

bash cd /data/openclaw

7.2 启动容器

执行以下命令，基于docker-compose.yml配置构建并启动容器：

bash docker-compose up -d --build

说明：--build参数表示启动前重新构建镜像，确保Dockerfile的修改生效；-d参数表示后台运行容器。

7.3 查看服务状态

启动后，可通过以下命令查看容器运行状态及服务日志，确认服务正常启动：

bash # 查看容器运行状态 docker-compose ps # 实时查看服务日志 docker logs -f openclaw-sec

7.4 停止服务

如需停止openClaw服务，执行以下命令：

bash docker-compose down

八、安全优势说明

• 环境隔离：服务运行在容器内，与宿主机内核、系统环境完全隔离，避免服务漏洞或恶意代码直接危害宿主机；

• 最小权限：容器禁用特权模式，仅开放18799必要端口，减少攻击面；

• 数据安全：核心数据通过目录挂载存储在宿主机指定路径，可单独备份、迁移，且容器无法访问宿主机其他无关目录；

• 环境统一：基于固定镜像部署，避免不同环境下的依赖冲突，实现一次构建、多处部署；

• 网络安全：通过socat端口转发，避免OpenClaw服务直接监听容器外网端口，提升服务访问安全性。

九、注意事项

• 宿主机映射目录权限建议设置为755，避免权限过高导致文件泄露风险，执行命令：chmod 755 -R /data/openclaw；

• 禁止给容器设置privileged: true（特权模式），防止容器获取宿主机过高权限，引发安全隐患；

• 宿主机防火墙需仅放行18799端口，关闭其他无关端口，进一步提升网络安全；

• 定期备份/data/openclaw/rootdata用户数据目录，避免数据丢失；

• 若容器运行异常，可直接通过docker-compose down停止后重新启动，无需修改宿主机环境，不影响宿主机系统稳定性；

• 部署前需确认宿主机Docker、Docker Compose已正常安装，且基础镜像python310-opjdk8-opclaw:v3.0已存在于本地；

• 若修改源码或配置文件，需在宿主机/data/openclaw目录下操作，修改后容器内会同步生效，无需重新构建镜像（除非修改Dockerfile）。