1. 腾讯云上 OpenClaw 拉镜像卡住到底卡在哪如果你在腾讯云 CVM 上部署 OpenClaw大概率会遇到这个画面docker pull ghcr.io/openclaw/openclaw:latest跑了十几分钟进度条不动最后甩出一句context deadline exceeded或者net/http: TLS handshake timeout。这不是你服务器配置差也不是 OpenClaw 镜像坏了而是 GHCRGitHub Container Registry在国内的公网链路本身就不稳定腾讯云默认的 Docker Hub 镜像源又没有同步 OpenClaw 的镜像层两边都不通自然就超时。OpenClaw 是一个可自托管的 AI 智能体运行框架支持接入多种模型通道适合想把 Agent 跑在自己服务器上、又不想依赖第三方托管的人。它的官方镜像只发布在 GHCR不在 Docker Hub所以你在腾讯云上直接docker pull openclaw/openclaw是拉不到的会报manifest unknown。这篇就围绕「腾讯云 OpenClaw Docker 镜像拉取超时」这条线把镜像源替换、超时参数、config.toml 与 settings.json 骨架、以及 TaoToken 统一 Key 通道的配置一次讲清楚照着做能跑通。我试过在腾讯云广州轻量服务器上从零部署第一次拉 GHCR 镜像卡了 20 分钟没动静换成带超时重试的拉取方式 配置好工具侧 Key 通道之后整个流程稳定在 5 分钟内完成。下面按顺序来。2. 先把 TaoToken 的 Key 通道准备好OpenClaw 本身是运行框架它要调用模型能力需要配置一个统一的 API 通道。TaoToken 在这里的角色是提供统一的 Key 和 API 入口让 OpenClaw 的 config.toml 里只填一个 base_url 和一个 key就能对接模型对话、编码类任务等能力不用在多个供应商之间来回切换配置。你需要先拿到两样东西API Key 和 API 地址。API 地址是https://taotoken.net/api这个不加任何参数直接填进配置。Key 的获取入口在控制台的 API Keys 页面登录后新建一个 Key复制出来备用。如果你后面要跑长期编码或 Agent 任务可以顺带看一下 Coding Plan 的额度说明避免跑一半额度不够。这一步不用在服务器上做浏览器里操作完把 Key 存到本地临时文件或者密码管理器里后面写进 config.toml 时直接引用环境变量别硬编码进镜像。3. 镜像源替换与超时参数让 GHCR 拉得动腾讯云默认的 Docker 配置里registry-mirrors 通常指向腾讯云自己的加速地址但它没有同步 GHCR 的 OpenClaw 镜像。所以第一步是改/etc/docker/daemon.json加上能覆盖 GHCR 的镜像源同时把拉取超时时间调大。{ registry-mirrors: [ https://docker.mirrors.ustc.edu.cn, https://ghcr.dockerproxy.com ], max-concurrent-downloads: 3, max-download-attempts: 5 }这里max-download-attempts是关键默认 Docker 拉取失败重试次数少GHCR 链路抖动一次就整体失败。调到 5 次能明显减少context deadline exceeded。改完执行systemctl daemon-reload systemctl restart docker docker info | grep -A5 Registry Mirrors确认输出里能看到你配置的两个镜像源。注意ghcr.dockerproxy.com这类地址只是加速层如果它本身也不稳定可以只保留中科大源然后直接用带重试的拉取命令。拉取时显式指定平台和超时避免默认行为卡死DOCKER_CLIENT_TIMEOUT300 COMPOSE_HTTP_TIMEOUT300 \ docker pull ghcr.io/openclaw/openclaw:latest如果还是慢可以分步拉取先拉基础层再拉应用层观察是哪一层卡住。实测下来配置好重试次数后650MB 左右的镜像在腾讯云广州区大概 3 到 5 分钟能拉完。4. OpenClaw 的 config.toml 与 settings.json 骨架镜像拉下来之后OpenClaw 要能调用模型得配两个文件config.toml管运行参数和通道settings.json管工具侧行为。下面给的是可复制骨架你按自己环境改路径和 Key。config.toml[server] host 0.0.0.0 port 18789 [model] provider openai-compatible base_url https://taotoken.net/api api_key ${TAOTOKEN_API_KEY} model claude-sonnet timeout_seconds 120 max_retries 3 [agent] workspace /opt/openclaw/workspace log_level infosettings.json{ tools: { shell: { enabled: true, timeout: 60 }, file: { enabled: true, root: /opt/openclaw/workspace } }, channel: { type: api, endpoint: https://taotoken.net/api, key_env: TAOTOKEN_API_KEY } }Key 不要写死在文件里用环境变量注入。启动容器时通过-e TAOTOKEN_API_KEY你的Key传入或者在 docker-compose 的 environment 段引用.env文件。这样镜像和配置分离换 Key 不用重建镜像。5. 启动容器并验证请求是否通配置写好后用 docker-compose 启动。先确认 compose 文件里映射了端口和配置目录services: openclaw: image: ghcr.io/openclaw/openclaw:latest ports: - 18789:18789 environment: - TAOTOKEN_API_KEY${TAOTOKEN_API_KEY} volumes: - ./config.toml:/app/config.toml - ./settings.json:/app/settings.json - ./workspace:/opt/openclaw/workspace restart: unless-stopped启动并检查docker-compose up -d docker ps docker logs -f openclaw日志里看到server listening on 0.0.0.0:18789就说明服务起来了。接着验证模型通道连通性用 curl 直接打 TaoToken 的 API 地址确认 Key 有效curl -s -X POST https://taotoken.net/api/v1/chat/completions \ -H Authorization: Bearer $TAOTOKEN_API_KEY \ -H Content-Type: application/json \ -d {model:claude-sonnet,messages:[{role:user,content:ping}]}返回里有choices字段就说明通道通了。如果返回 401检查 Key 是否复制完整返回 404检查 base_url 是否多了斜杠。这一步通了再回 OpenClaw 面板里发一条测试消息确认端到端能跑。腾讯云安全组记得放行 18789 端口入站规则来源填你的办公 IP 或 0.0.0.0/0协议 TCP。放行后用浏览器访问http://你的公网IP:18789首次进入设置管理员账号。6. 本篇常见报错排查报错一manifest unknown说明你拉的是 Docker Hub 上的openclaw/openclaw但 OpenClaw 只发 GHCR。改成ghcr.io/openclaw/openclaw:latest并确认 daemon.json 里有覆盖 GHCR 的镜像源。报错二context deadline exceeded反复出现先看max-download-attempts是否调到 5再看DOCKER_CLIENT_TIMEOUT是否设到 300。如果还不行把ghcr.dockerproxy.com从镜像源里去掉只留中科大源避免加速层本身超时拖累整体。报错三容器起来但面板打不开九成是腾讯云安全组没放行 18789。去控制台实例的安全组里加入站规则TCP:18789来源按需。同时确认服务器内部firewalld或ufw没拦。报错四模型调用返回 401 或 403Key 没注入进容器。docker exec -it openclaw env | grep TAOTOKEN看一下环境变量在不在。不在的话检查 docker-compose 的 environment 段和.env文件路径。报错五拉取到一半磁盘满OpenClaw 镜像加工作区大概需要 2GB 以上。df -h看一下/var/lib/docker所在分区不够就先docker system prune清理旧镜像。7. 后续接入与 Key 管理跑通之后如果你要长期跑编码类或 Agent 任务建议把 Key 的管理和额度规划单独拎出来。TaoToken 的 API Keys 页面可以建多个 Key按用途分开比如一个给 OpenClaw 日常对话一个给编码任务出问题好定位。接入文档里有不同语言和框架的调用示例OpenClaw 的 config.toml 里 base_url 保持https://taotoken.net/api不变换 Key 只改环境变量。模型对话能力可以直接在模型对话页面先试确认某个模型在你的场景下响应正常再写进 config.toml。长期编码或 Agent 任务量大的话Coding Plan 的额度比按次调用更划算具体在控制台里看当前方案。整个流程的核心就三件事镜像源覆盖 GHCR、拉取重试次数调大、Key 通道用环境变量注入。这三步做完腾讯云上 OpenClaw 的 Docker 拉取超时基本不会再出现。