決策摘要：在遠端 Mac跑閘道與技能時，出口漂移會讓審計與配額失真；以虛擬隧道固定模型與工具主機走向，再把閘道綁本機並收斂出站白名單，可切開控制面與資料面。下文含六段實作順序、檢查命令與簡短問答；延伸見閘道安全硬化、守護與健康檢查、網鉤摘要範式。說明中心、定價、購買頁免登入可閱。
① 拓撲與最小權限原則
分三層：管理連線、本機閘道（迴環監聽）、對外資料面。預設拒絕非必要出站；多實例請以 OPENCLAW_HOME 分開設定根目錄，並分守護標籤與日誌，避免互蓋。
| 方案 | 取捨 |
|---|---|
| 全機直連 | 最省事但出口不可預測 |
| 僅企業代理 | 整合快，需防應用繞過 |
| 隧道加分流 | 審計友善，需維護路由與重連劇本 |
② 官方安裝與 doctor 驗證
對齊二〇二六年文件：執行期優先二十四、其次二十二點一六以上；依官方 curl 腳本安裝後執行 openclaw onboard --install-daemon，再跑互動引導。以 openclaw doctor 驗證模組與設定；閘道埠常見一八七八九以實機為準。多環境並存時另設主目錄變數註明埠與權杖對照。
node -v openclaw doctor openclaw gateway status lsof -nP -iTCP -sTCP:LISTEN | egrep 'LISTEN'
③ WireGuard 路由與網域分流
用允許位址清單讓敏感主機進隧道，內部程式庫與託管走內網或代理；內部網域指內部解析器，模型與註冊表走可信上游。變更後以小流量驗證並留變更單與回滾步驟。
scutil --dns | head -n 40 netstat -nr | head -n 30
④ 閘道綁定、載體權杖與網域白名單
閘道優先本機迴環；對外經代理或隧道。出站白名單涵蓋註冊表、託管、模型主機與安裝更新主機；有代理時維護略過清單以免探針誤判。權杖寫入守護環境而非互動殼層。
- 探測應見閘道在迴環而非全零位址。
- 權杖輪替後舊值自排程與祕鑰庫撤除。
- 白名單變更附最小驗證與期望回應。
⑤ 斷線重連與健康探針
定時打閘道健康端點；失敗先記介面與解析，再按二四八秒退避重啟守護或重建隧道，並對連續失敗設閾值告警；同步監看磁碟與描述符。
curl -sS -o /dev/null -w '%{http_code}\n' http://127.0.0.1:18789/health
⑥ 與持續整合網鉤的失敗摘要合併示例
以去重鍵合併短時間多次失敗為單則摘要；回寫標籤採二四八秒退避與上限，避免洗版與觸發速率限制。閘道代寫狀態時權杖範圍須與白名單一致。
可執行參數與檢查命令（清單）
- 版本與健診輸出已存證。
- 閘道綁定與權杖輪替已核對。
- 隧道出口與路由表符合設計。
- 網鉤合併與退避已在測試庫驗證。
常見報錯（頁內 FAQ）
模型逾時但文件可開？
多為分流不全或代理攔截；核對目的位址是否在隧道允許清單並調整略過。
監聽正常卻回四零一？
多為載體權杖不一致；比對守護環境與呼叫端，勿把祕鑰寫入版控。