1. 为什么 Ubuntu 上 OpenClaw 部署完局域网还是打不开OpenClaw 是一个可以跑在自己机器上的 AI 网关服务装好之后能在浏览器里对话、接模型、挂机器人。很多人第一次在 Ubuntu 上部署 OpenClaw本机curl 127.0.0.1一切正常但换到同网段的笔记本、手机、另一台台式机就死活连不上。这个问题几乎不是 OpenClaw 本身坏了而是三件事没对齐服务监听地址、系统防火墙、以及配置文件里的绑定模式与跨域白名单。我自己第一次遇到时也以为是网络问题重启路由器、换网线折腾半天最后发现服务压根只监听了127.0.0.1。这篇就按“监听地址 → 防火墙 → 配置文件 → 双端验证”的顺序把 Ubuntu 上 OpenClaw 局域网访问不通的排查路径讲清楚同时给出可复制的config.toml骨架以及用 TaoToken 统一 Key/API 通道接入的片段。目标很明确让同网段设备稳定访问你的 OpenClaw 服务而不是每次靠 SSH 隧道凑合。适合谁看已经在 Ubuntu 上装好 OpenClaw、本机能用但局域网连不上的同学准备把 OpenClaw 当家庭/小团队内部服务用的同学以及想用统一 API 通道管理多个模型 Key 的同学。下面所有命令都可以直接复制改一下 IP 和端口即可。2. 前置准备TaoToken 统一 Key 与 API 通道在排查网络之前先把模型接入这条链路理顺。OpenClaw 支持自定义 OpenAI 兼容的 Base URL所以我们可以把模型请求统一走 TaoToken 的 API 通道好处是 Key 只维护一份换模型不用改一堆配置。TaoToken 官网入口在这里https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 注册后在控制台创建 API Key。API 地址固定为 https://taotoken.net/api 注意这个地址不带任何查询参数直接作为 Base URL 使用。创建 Key 的页面在控制台的 API Keys 区域直达链接https://taotoken.net/console/api-keys?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 。拿到形如sk-xxxx的 Key 之后先放一边等会儿写进 OpenClaw 配置。如果你更想先验证模型通道是否通可以直接用模型对话页面测一条请求https://taotoken.net/models?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 。这一步能排除“Key 本身有问题”的干扰避免把模型 401 误判成网络不通。注意TaoToken 是合规的 API 聚合通道配置时只填 Base URL 和 Key不要在任何地方填写来路不明的代理地址。3. 可复制配置config.toml 骨架与监听设置OpenClaw 的配置文件通常在~/.openclaw/config.toml部分版本是openclaw.json逻辑一致。下面这份骨架把局域网访问相关的字段都标出来了你可以直接复制后改 IP。# ~/.openclaw/config.toml [gateway] # 关键绑定模式。loopback 只允许本机lan 才允许局域网 bind lan # 监听端口默认 18789 port 18789 # 网关运行模式 mode local [gateway.controlUi] # 允许访问控制台的来源必须写全协议IP端口 allowedOrigins [ http://192.168.1.100:18789, http://localhost:18789 ] # 首次访问需要设备认证 token调试阶段可临时放开 allowInsecureAuth false dangerouslyDisableDeviceAuth false [model] # 统一走 TaoToken 的 OpenAI 兼容通道 provider openai-compatible baseUrl https://taotoken.net/api apiKey sk-你的TaoTokenKey model gpt-4o-mini几个字段解释一下。bind lan是新版 OpenClaw 的写法老版本可能写0.0.0.0但新版会提示 legacy 并拒绝启动所以直接用lan。allowedOrigins是浏览器的跨域白名单你从哪台设备访问就要把那台设备访问时用的完整地址写进去协议、IP、端口一个都不能少。port必须是数字写成字符串18789会触发类型错误这是很常见的坑。改完配置后重启网关systemctl --user restart openclaw-gateway.service # 或者前台方式 openclaw gateway restart重启后先别急着从别的设备访问先在服务器本机确认监听状态ss -tlnp | grep 18789如果输出里是127.0.0.1:18789说明还是只监听本机bind没生效回去检查配置是否被正确加载。正常应该是0.0.0.0:18789或*:18789。4. 防火墙与端口放行ufw 与 iptables 两条路监听地址对了之后第二道关卡是 Ubuntu 的防火墙。默认 ufw 可能是关闭的也可能开着但没放行 18789。先看状态sudo ufw status verbose如果显示Status: active就需要放行端口sudo ufw allow 18789/tcp sudo ufw reload如果显示Status: inactive那防火墙不是原因可以跳过。但有些云主机或定制镜像用的是 iptables/nftablesufw 关了不代表没规则。用下面命令确认sudo iptables -L -n | grep 18789 sudo nft list ruleset 2/dev/null | grep 18789如果确实有 DROP 规则临时放行测试sudo iptables -I INPUT -p tcp --dport 18789 -j ACCEPT注意iptables 规则重启会丢失测试通过后请用iptables-persistent或改用 ufw 固化别只加临时规则就以为完事了。放行之后从服务器本机再确认一次端口可达curl -v http://127.0.0.1:18789/health返回 200 或一段 JSON 就说明服务本身没问题接下来才是真正的局域网验证。5. 双端验证curl 本机与局域网请求对照验证要分两步走先本机、再局域网这样能快速定位问题出在哪一层。本机验证curl -s -o /dev/null -w %{http_code}\n http://127.0.0.1:18789/health期望输出200。如果这里就不通问题在服务本身跟局域网无关。局域网验证在另一台同网段设备上执行假设服务器 IP 是 192.168.1.100curl -v http://192.168.1.100:18789/health如果本机 200、局域网超时基本就是监听地址或防火墙问题回到第 3、4 节。如果局域网返回 403 或提示 origin not allowed那是allowedOrigins没配对。如果返回unauthorized: gateway token missing说明设备认证没带 token需要从服务器获取openclaw dashboard它会输出一个带 token 的地址形如http://127.0.0.1:18789/?tokenabc123。把127.0.0.1换成192.168.1.100在局域网设备浏览器里打开即可。调试阶段如果嫌麻烦可以临时把allowInsecureAuth设为true但用完记得改回来。模型通道的验证可以单独做一条确认 TaoToken 接入正常curl -s https://taotoken.net/api/v1/models \ -H Authorization: Bearer sk-你的TaoTokenKey | head -c 300能返回模型列表 JSON就说明 Key 和通道都没问题OpenClaw 里的模型请求也就有了基础。6. 本篇常见错排查清单把上面几步里最容易翻车的点集中列一下遇到问题按顺序对号入座。ss显示还是127.0.0.1bind没生效检查配置文件路径是否正确、是否重启了网关、是否有多个配置文件互相覆盖。启动报0.0.0.0 is legacy新版 OpenClaw 不接受0.0.0.0改成bind lan。port类型错误配置文件里端口写成了字符串去掉引号改成数字。浏览器报origin not allowedallowedOrigins里没写当前访问地址注意协议和端口要完全一致。浏览器报gateway token missing设备认证未通过用openclaw dashboard拿带 token 的地址或临时放开allowInsecureAuth。本机通、局域网不通且防火墙已放行多半是监听地址问题回到第 3 节确认ss输出。模型请求 401检查 TaoToken Key 是否复制完整、Base URL 是否为https://taotoken.net/api不要多加/v1之外的路径。如果你打算长期把 OpenClaw 当编码或 Agent 工具用建议了解一下 Coding Plan入口https://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 配合统一 Key 管理会省心不少。接入文档在 https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 遇到字段不确定时以文档为准。最后提醒一句局域网放开访问意味着同网段任何设备都能连家里有访客 Wi-Fi 或公共网络时建议把allowInsecureAuth和dangerouslyDisableDeviceAuth关回去或者干脆用 SSH 隧道ssh -L 18789:localhost:18789 用户名服务器IP浏览器开http://localhost:18789安全又省事。