1. Linux 服务器上 OpenClaw 远程访问为什么总是连不上OpenClaw 部署在 Linux 服务器上之后本机localhost:3000能打开但换一台笔记本、换一个网络页面就转圈、SSH 卡住、聊天框发出去没回复——这是很多人第一次配远程访问时最典型的体验。问题通常不在 OpenClaw 本身而在「远程访问链路」这一层要么是 SSH 隧道没打通要么是 Tailscale 组网把服务器的出网 DNS 或路由改坏了。这篇聚焦 Linux OpenClaw 的远程访问排错围绕两条路径展开一条是 SSH 隧道简单、可控、适合临时用一条是 Tailscale 组网方便、跨设备、但容易踩 DNS 和代理的坑。我会给出可复制的~/.ssh/config骨架、Tailscale ACL 配置骨架以及一套逐步验证连通性的动作最后把「页面能开但 AI 回复空白」这个高频故障单独拆开讲。适合谁看已经在 Linux 服务器上跑起 OpenClaw、想从另一台电脑访问 WebUI 或 API 的开发者以及装了 Tailscale 之后服务器ping不通外网、模型调用失败的人。核心检索词就三个linux、openclaw、远程访问配套 ssh 和 tailscale 两条链路。先说结论方向方便你对号入座如果只是自己临时访问优先 SSH 隧道别急着上组网如果要多设备长期访问再考虑 Tailscale但一定要处理它接管 DNS 和默认路由带来的副作用。下面按「先讲清问题 → 再准备统一 Key → 再上可复制配置 → 再验证 → 再排错 → 最后按场景分流」的顺序走。2. 前置准备用 TaoToken 统一 Key 管住模型调用远程访问链路修好之后OpenClaw 最终要能调到大模型才算真正可用。这里建议把模型调用统一走一个入口避免每个环境各配一套 Key、出问题时分不清是网络还是鉴权。TaoToken 的定位就是给这类多环境、多工具的调用场景提供一个统一 Key 和统一入口。官网地址是 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content API 入口是 https://taotoken.net/api 这个不加 UTM。你可以在控制台里创建 Key然后在 OpenClaw 的模型配置里填这个 Key 和对应的 base URL。为什么排错阶段要强调这个因为「AI 回复空白」有两种完全不同的成因一种是网络层根本没出去Tailscale 改坏了 DNS/路由另一种是出去了但鉴权失败或 base URL 写错。把模型调用统一到一个 Key、一个入口你就能用一条curl快速区分这两类问题——如果curl能拿到正常响应说明网络和鉴权都通问题在 OpenClaw 配置如果curl超时那就是链路问题。创建 Key 的入口在控制台的 API Keys 页面https://taotoken.net/console/api-keys?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 。拿到 Key 之后先别急着填进 OpenClaw留到第 4 节做连通性验证时用。注意Key 只放在服务器本地配置文件或环境变量里不要提交到 Git也不要在聊天记录里明文粘贴。3. 可复制配置SSH config 与 Tailscale ACL 骨架3.1 SSH 隧道配置骨架SSH 隧道是最稳的路径原理是把服务器上的 OpenClaw 端口映射到你本地。假设 OpenClaw WebUI 监听在服务器的127.0.0.1:3000本地想用localhost:3000访问。先编辑本地机器的~/.ssh/configHost openclaw-server HostName 203.0.113.10 User ubuntu Port 22 IdentityFile ~/.ssh/id_ed25519 ServerAliveInterval 30 ServerAliveCountMax 3 LocalForward 3000 127.0.0.1:3000几个参数值得解释。ServerAliveInterval 30表示每 30 秒发一次心跳防止中间网络设备把空闲连接掐掉这是「隧道用一会儿就断」的常见解法。ServerAliveCountMax 3表示连续 3 次心跳无响应才断开。LocalForward 3000 127.0.0.1:3000是把本地的 3000 端口转发到服务器视角的127.0.0.1:3000。配好之后直接ssh -N openclaw-server-N表示不执行远程命令只做端口转发。然后本地浏览器打开http://localhost:3000就能看到 OpenClaw WebUI。如果 OpenClaw 监听的是0.0.0.0:3000转发目标写127.0.0.1:3000依然有效但如果它只监听某个内网 IP就要把转发目标改成那个 IP。用下面这条命令确认监听地址ss -tlnp | grep 3000输出里LISTEN那一列的地址就是真实监听地址0.0.0.0:3000或127.0.0.1:3000都常见。3.2 Tailscale ACL 配置骨架Tailscale 适合多设备长期访问但它的 ACL 和 DNS 设置是排错重点。先确认服务器和你的客户端都在同一个 tailnet 里tailscale status如果服务器显示offline先看sudo systemctl status tailscaled。ACL 骨架在 Tailscale 管理后台的 Access Controls 里配置下面是一个最小可用示例假设你的 tailnet 域名是example.ts.net{ acls: [ { action: accept, src: [autogroup:member], dst: [*:3000, *:22] } ], tagOwners: { tag:server: [autogroup:admin] } }这段的意思是允许所有成员访问任意节点的 3000 和 22 端口。生产环境应该收窄dst比如只允许特定用户组访问tag:server:3000。ACL 改完要等几十秒生效别改完立刻测然后怀疑人生。Tailscale 还有一个容易忽略的点它会接管 DNS。默认情况下 Tailscale 会把100.100.100.100设为首选 DNS如果你的服务器原本依赖本地 DNS 解析外网域名就可能出现ping api.deepseek.com失败。这个坑在第 5 节详细讲。4. 验证请求从链路到模型调用逐步确认排错最忌讳一上来就改配置正确做法是分层验证每层确认通过再进下一层。第一层确认服务器本机能访问 OpenClawcurl -s -o /dev/null -w %{http_code}\n http://127.0.0.1:3000返回200或302说明服务本身正常。返回000说明服务没起来或端口不对先解决这个再谈远程。第二层确认 SSH 隧道通了。在本地开隧道后curl -s -o /dev/null -w %{http_code}\n http://localhost:3000同样看状态码。如果本地curl卡住回到第 3.1 节检查LocalForward和服务器监听地址。第三层确认模型调用链路。这一步用 TaoToken 的统一 Key 直接打 API绕开 OpenClawcurl -s https://taotoken.net/api/v1/chat/completions \ -H Authorization: Bearer $TAOTOKEN_API_KEY \ -H Content-Type: application/json \ -d { model: gpt-4o-mini, messages: [{role: user, content: ping}] }如果这条返回正常 JSON说明服务器出网、DNS、鉴权都没问题那 OpenClaw 里「AI 回复空白」就一定是它自己的配置问题base URL、Key、模型名。如果这条超时或报 DNS 错误问题在链路层继续看第 5 节。第四层在 OpenClaw 里发一条消息同时看服务器日志journalctl -u openclaw -f日志里通常会打印它实际请求的 URL 和返回码这是定位「空白回复」最直接的证据。5. 本篇常见错排查连接超时、鉴权失败、端口不通、回复空白5.1 SSH 连接超时现象是ssh openclaw-server卡在Connecting to...。先确认端口通不通nc -vz 203.0.113.10 22不通的话检查服务器安全组/防火墙是否放行 22以及sshd是否在跑sudo systemctl status sshd sudo ufw status如果 22 通但 SSH 仍超时可能是IdentityFile权限太开放SSH 会拒绝使用chmod 600 ~/.ssh/id_ed255195.2 鉴权失败报Permission denied (publickey)。先确认公钥在服务器的~/.ssh/authorized_keys里且权限正确chmod 700 ~/.ssh chmod 600 ~/.ssh/authorized_keys如果用的是 TaoToken 的 Key 调模型时报401检查请求头是不是Authorization: Bearer key以及 Key 有没有多余空格。控制台里可以重新生成一个 Key 对比测试。5.3 端口不通隧道建好了但本地curl localhost:3000返回000。最常见原因是服务器上 OpenClaw 只监听了127.0.0.1而你的LocalForward目标写成了别的地址。用第 3.1 节的ss -tlnp确认后改转发目标即可。另一个原因是本地 3000 端口被占用。换一个本地端口ssh -N -L 3001:127.0.0.1:3000 openclaw-server然后访问http://localhost:3001。5.4 Tailscale 导致的「页面能开、AI 回复空白」这是本篇最值得单独讲的一个坑。现象很迷惑SSH 隧道下 WebUI 能打开聊天发出去AI 回复是空白。很多人以为是 OpenClaw 的 bug其实是 Tailscale 接管了 DNS 或默认路由导致服务器调不通模型 API。验证方法很直接在服务器上ping -c 3 api.deepseek.com ping -c 3 www.baidu.com如果这两个都失败但tailscale status显示正常基本可以确认是 Tailscale 的网络接管问题。处理方式是先停掉 Tailscale恢复服务器原生网络sudo systemctl stop tailscaled sudo systemctl disable tailscaled sudo systemctl restart systemd-resolved然后重新测ping -c 3 api.deepseek.com ping -c 3 www.baidu.com如果恢复正常说明确实是 Tailscale 的 DNS/路由接管导致的。这时候你有两个选择一是干脆不用 Tailscale回到 SSH 隧道方案二是保留 Tailscale 但在配置里关掉 DNS 接管tailscale up --accept-dnsfalse并检查是否开启了 exit node 导致默认路由被改。注意--accept-dnsfalse只是不接管 DNS如果之前配过 exit node还要确认没有把默认路由指向 Tailscale 节点否则出网流量还是会走错路。5.5 排错顺序建议把上面的排查整理成一张对照表方便你按现象快速定位现象最可能原因第一步动作SSH 卡在 Connecting防火墙/安全组未放行 22nc -vz ip 22Permission denied公钥或权限问题检查 authorized_keys 权限本地 curl 返回 000转发目标或监听地址不符ss -tlnp看监听模型 API 401Key 或请求头错误用 curl 单独验证页面能开、回复空白Tailscale 接管 DNS/路由ping外网域名验证6. 按场景分流接入排错、模型验证、长期编码链路修好之后接下来就是把它用起来。不同场景对应的入口不一样别一股脑全塞到首页。如果你还在排障阶段重点是接入和鉴权建议先把 API Keys 和接入文档过一遍API Keys 在 https://taotoken.net/console/api-keys?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 接入文档在 https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 。这两个页面能帮你确认 base URL、请求格式和鉴权方式避免在 OpenClaw 里反复试错。如果你只是想先验证模型能不能正常返回用模型对话页面最快https://taotoken.net/chat?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 。在浏览器里直接发一条消息能返回就说明 Key 和网络都没问题再回去配 OpenClaw 就有底了。如果你是长期在服务器上跑编码任务或 Agent建议用 Coding Plan把额度和管理集中起来https://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 。这样多台服务器、多个工具共用一套配置排错时也只需要盯一个入口。最后补一个我自己的习惯每次改完 SSH config 或 Tailscale ACL先跑一遍第 4 节的四层验证再动 OpenClaw 的配置。链路层和服务层分开测能省掉大量「到底是谁的问题」的来回猜。Tailscale 那个 DNS 接管的坑我踩过一次之后现在只要服务器上装了它第一件事就是先ping两个外网域名确认出网正常再谈别的。