如果你也和我一样把 OpenClaw 这类本地 AI Agent 当成自己的“私人工位”——白天在公司电脑上给它派活晚上回家想在手机上看看结果那一定绕不开一个问题怎么让局域网里的服务出门也能随时连上。我最后的答案很简单cpolar 内网穿透。这不是什么黑科技但配合 OpenClaw 用体验完全不一样手机电脑随时连稳定性实测下来很能打。这篇文章我会从方案选型、OpenClaw 部署、cpolar 隧道配置到多端实测、问题排查完整讲一遍。适合刚接触 OpenClaw 的新手也适合那些已经部署好、但一直被“出门连不上”卡住的老手。我会把踩过的坑、参数怎么定、为什么这么配都写在对应步骤旁边。1. 为什么OpenClaw要配上内网穿透用1.1 OpenClaw这类本地Agent的日常痛点OpenClaw 的核心定位是“本地优先”的 AI Agent 框架说白了就是你自己挑一个大模型 API比如通义千问把它接进一个能替你干活的 Agent 服务里。它可以读写本地文件、整理 Obsidian 笔记、对接各种 IM 渠道、定时执行任务甚至你人在外面也能通过聊天窗口给它派活。但这里有个现实问题它跑在你家里的主机上默认只有局域网能访问。数据是安全了可实用性大打折扣——我在公司午休时想让它整理一份笔记手机连不上家里 IP走在路上想用语音给 Agent 下个指令必须等回家再说接 Microsoft Teams 之类的 Bot 回调时微软那边需要一个公网能访问的 HTTPS 地址没有公网地址回调根本进不来。这其实就是本地部署的“最后一公里”问题。你辛辛苦苦把 Agent 配好结果它只能在家里的 WiFi 下工作等于买了一台只能停在地下车库的车。内网穿透要解决的就是这一件事把只监听在本地的服务通过一条加密隧道挂到公网让手机电脑随时随地都能连。1.2 cpolar、frp、ngrok、樱花四款方案怎么选我把常见的内网穿透方案都试了一遍这里直接给结论本地部署 OpenClaw 这种需要长期稳定在线的服务优先选 cpolar。cpolar国内服务商访问延迟低免费额度有固定二级子域名支持 HTTP、HTTPS、TCP 隧道还自带一个本地管理面板Web 界面点几下就能建隧道、看流量。对个人远程访问来说足够用。ngrok老牌工具但它官方服务器在国外国内直连经常慢半拍免费版每次重启隧道域名还会变。除非你自己搭 ngrok 服务端否则体验一般。frp 自建需要一台有公网 IP 的云服务器当跳板阿里云 ECS 免费试用倒是能顶一阵但运维成本高防火墙、安全组、证书、服务进程都要自己管。适合有多台机器、团队共用的人个人单机部署属于杀鸡用牛刀。樱花内网穿透基于 frp 的公共服务胜在节点多、适合临时测试但公共节点稳定性没法保证高峰期延迟波动明显。它不太适合承载 OpenClaw 这种需要 7×24 小时在线的服务。我现在的做法是cpolar 作为主力穿透方案另一条 TCP 隧道留给 SSH这样手机上的终端 App 也能随时登录家里的主机做运维。穿透工具不用贪多一条 https 隧道给 Web 控制台一条 tcp 隧道给 SSH刚好覆盖我 95% 的远程需求。1.3 暴露到公网之前先想清楚安全边界内网穿透是把双刃剑隧道一开意味着任何拿到你公网地址的人都有可能尝试访问你的服务。所以我在配置 OpenClaw 和 cpolar 时默认就做了三层防护第一层OpenClaw 侧开启鉴权Web 控制台和管理 API 必须带 token 才能访问第二层在 cpolar 隧道上开启 Basic Auth也就是访问地址时先弹一个账号密码框就算别人拿到 URL 也进不去第三层不用的隧道随时暂停长期不用的直接删除。这个思路和“家里装门锁”类似门装了锁不代表随便开门而是多一道、多一重保障。后面我会在实操部分把具体怎么开 Basic Auth 讲清楚。记住一句话穿透是手段安全是底线不要在裸奔的状态下把你的 Agent 暴露给整个互联网。2. 先把OpenClaw跑起来部署与本地验证2.1 部署方式怎么挑OpenClaw 的部署方式我试过两条路线一条是 Windows 桌面环境直接装适合纯新手鼠标点几下就能跑起来另一条是 Ubuntu Docker 容器化部署适合长期稳定运行不占用本地桌面资源也方便挂载数据目录。如果你手头是 Windows 机器想快速体验装完依赖后直接按官方的一键安装脚本走就行图形界面友好出错概率低。但我的建议是如果这台机器准备 24 小时跑 Agent还是给它换 Ubuntu 或者至少用 Docker Desktop 把服务跑在容器里。原因很简单Windows 系统一更新就可能把服务搞挂而容器里跑服务重启机制、日志管理、环境隔离都干净得多。我自己的最终落点是一台迷你主机系统 Ubuntu 22.04OpenClaw 跑在 Docker 容器里数据卷挂载到宿主机目录。这样即使容器崩了重新拉起来还是一样迁移也方便。2.2 让服务在局域网里先跑通部署完成后先别急着穿透必须先把本地这一环验证清楚。OpenClaw 启动后默认会监听在某个本地端口上我用的是 3000 端口此时第一步操作是在宿主机上检查端口是否在听ss -tlnp | grep 3000能看到 LISTEN 状态说明服务起来了。接着在同样的局域网里找一台设备浏览器访问http://宿主机IP:3000能打开 Web 控制台就说明本地环境没问题。这一步别跳也别贪快。很多人在穿透阶段遇到 502、404最后排查下来根本不是隧道的问题而是本地服务就没起来或者端口写错了。先确认局域网内能访问再谈公网这是省时间的基本功。2.3 给Agent配置好可用的模型与渠道OpenClaw 本身只是框架真正干活的是你接入的大模型。我接的是通义千问理由很直接国内访问稳定、Key 申请流程简单、价格可控。配置一般在 OpenClaw 的 config 文件里完成把模型的 API Key、模型名、Base URL 写进去然后重启服务。配置完模型还要选“渠道”也就是 Agent 的对外入口。OpenClaw 里的 channel 可以理解为“消息通道”常见的有本地 Terminal、Telegram、Teams、Discord 等。我的建议是本地调试用 Terminal命令行直接对话出问题好排查日常远程用 Teams 或 Telegram因为手机 App 推送最及时Web 控制台作为兜底方便我在别人的电脑上临时登录。配置渠道时注意每个渠道的 bot token 和回调地址都不一样尤其是 Teams 这种需要公网回调地址的隧道没开之前根本没法联调。所以合理的顺序是先把本地 Web 控制台跑通再开 cpolar 隧道最后接 Teams。3. cpolar隧道配置实操一条隧道把服务送到公网3.1 注册、安装、绑定账号cpolar 的使用流程非常短四步就能跑通注册账号、安装客户端、绑定 authtoken、创建隧道。首先去 cpolar 官网注册一个账号这一步没有门槛注册完在后台能看到自己的 authtoken这个 token 是客户端与账号绑定的凭证。接着在需要穿透的主机上安装客户端curl -L https://www.cpolar.cn/static/downloads/install-release-cpolar.sh | sudo bashWindows 用户在官网下载 zip 包解压也行。装完验证一下版本cpolar version然后执行cpolar authtoken 你的tokenauthtoken 只需要绑定一次之后这台机器就归你的账号管了。注意这个 token 等于你主机的“门禁卡”千万别写进公开的教程、截图里否则别人可以直接用你的账号创建隧道。3.2 创建第一条HTTP隧道绑定账号后创建隧道有两种方式。一种是命令行直接临时创建比如cpolar http 3000这条命令会把本机的 3000 端口挂到 cpolar 的公网节点上终端里会打印出一个公网 HTTPS 地址。临时测试用它最快但终端一关隧道就断了不太适合长期在线。第二种方式是使用 cpolar 的本地管理面板。启动 cpolar 客户端后浏览器访问http://localhost:9200这是它的 Web 管理页你可以在上面创建、启动、暂停隧道。面板创建隧道时可配置的参数更完整我推荐这种方式做正式环境。面板里创建隧道的关键参数就三个隧道名称随便写自己能认出来就行比如openclaw-web协议选 HTTP本地地址填127.0.0.1:3000。保存启动后管理面板会生成一个公网地址格式类似https://xxxx.cpolar.top。用手机流量访问这个地址能打开 OpenClaw 控制台穿透链路就是通的。3.3 固定域名与系统级开机自启免费版的随机公网域名有个问题隧道重启后地址可能会变。你手机上存了书签结果第二天地址变了等于白连。所以要做的第一件事就是去 cpolar 后台的域名管理页面申请一个固定的二级子域名然后在隧道配置里把它填进去。固定域名的好处不只是稳定还能配合 Teams 这类需要回调地址的服务长期使用。解决完域名第二步是让 cpolar 随系统自启。cpolar 客户端必须常驻内存隧道才稳定。我给它写了一个 systemd 服务[Unit] Descriptioncpolar Service Afternetwork.target [Service] Typesimple ExecStart/usr/local/bin/cpolar -log stdout Restartalways RestartSec3 [Install] WantedBymulti-user.target保存到/etc/systemd/system/cpolar.service后执行sudo systemctl daemon-reload sudo systemctl enable --now cpolar顺手把 OpenClaw 的服务也设置成自动重启。只要主机不宕机这条穿透链路就是 7×24 小时在线的。3.4 远端SSH和内置面板的进阶用法除了把 OpenClaw 的 Web 界面穿透出去我还强烈建议给 SSH 也建一条 TCP 隧道。做法也很简单cpolar 管理面板新建一条隧道协议选 TCP本地地址填127.0.0.1:22。这样手机上的终端 App 配好 SSH 后直接用 cpolar 分配的公网地址和端口就能登录主机。这一步解决了一个很实际的场景你在外面发现 Agent 卡住了或者配置改错了如果只有 Web 控制台隧道可能连不上服务但只要有 SSH 隧道随时能登进主机看日志、改配置、重启容器所有操作和坐在家里一模一样。另外提一下 cpolar 的本地管理面板本身就在9200端口你也可以给这个面板单独开一条 HTTP 隧道这样在外面也能管理隧道本身。不过面板里有账号相关的敏感信息不建议默认暴露公网加好 Basic Auth 再考虑。4. 手机和电脑远程访问实测串讲完整链路4.1 一条请求从手机走到本机中间发生了什么用固定域名配好隧道之后我建议你花两分钟理解一下一条请求的完整路径。比如我在手机上打开https://myopenclaw.cpolar.top手机先把请求发到 cpolar 的公网节点公网节点根据隧道规则把请求转发给本机常驻的 cpolar 客户端客户端收到请求后转发给本机监听在 3000 端口的 OpenClaw 服务OpenClaw 处理后把响应原路返回。这个链路每一步都有日志可查。OpenClaw 的日志查docker logs或 systemd journalcpolar 的日志在管理面板的“日志”页面。排障时沿着链路逐段看就能定位问题出在公网节点、本地客户端还是服务本身。这种“外人看起来像在访问一个公网网站实际上所有数据都是经加密隧道回到你家主机”的模式就是内网穿透最典型、也最正经的用法远程开发调试、Webhook 回调、个人服务自托管、智能设备管理都属于此类。4.2 手机端实测给Obsidian笔记安排个摘要任务我在家的时候经常用 Obsidian 记工作笔记但人一出门就懒得开电脑。现在我的流程是这样的走到地铁上打开手机浏览器输入固定域名登录 OpenClaw 控制台然后在对话里输入“读取 vault 里 notes/idea.md 的内容帮我整理成三条行动摘要。”然后它真的会去读本地挂载的 Obsidian 数据目录跑完给我输出三条摘要。整个过程中我的人在外面数据文件在家里主机上唯一的通道就是 cpolar 那条 HTTPS 隧道。实测下来纯文本任务从发出到返回大约一两秒体感和在局域网内没什么区别。这里有个小技巧在手机浏览器登录控制台后用“添加到主屏幕”功能把页面存成一个类 App 图标下次打开就像用原生 App 一样体验会自然很多。4.3 电脑端和Teams接入的补充场景电脑端访问更简单桌面浏览器直接输固定域名就行。但我更多时候是把它用在 Webhook 回调场景里。比如给 OpenClaw 接入 Microsoft Teams Bot 时微软后台要求填 Bot 的 HTTPS 回调地址这个地址必须是公网可达的。以前没穿透时我只能用小工具临时把本地端口转到测试服务器非常麻烦有了固定域名后直接把 Teams 回调地址填成https://myopenclaw.cpolar.top/teams/webhookAgent 就能把 Teams 里的消息和任务接进来。这个能力给我最大的感受是穿透不只是“把网页搬到外面”它本质上让本地 Agent 从一个“单机程序”变成了“可被任意公网服务调度的后端节点”。无论是手机远程控制、Bot 回调还是和其他平台的 Webhook 联动都用同一条链路完成。5. 常见问题与避坑记录5.1 OpenClaw侧的典型报错热词里有一个很典型的报错agent failed before reply: session file locked (timeout 60000ms)。这个我遇到过两次原因基本一致OpenClaw 的会话是用文件锁来防止并发写的当有多个进程或者多个渠道同时访问同一个 session 时后到的请求就会拿不到锁等到 60 秒超时直接报错。解决办法分三步先检查是不是有两个 agent 进程在跑用ps aux | grep openclaw确认有就杀掉多余进程再去看 session 目录下有没有残留的.lock文件有就删掉最后重启服务。如果这个问题反复出现说明你给同一个 Agent 配了太多同时接入的渠道建议一个 Agent 保持一个主要的交互渠道其他入口做访问控制。另一个报错是agent failed before reply不加后半段时通常和渠道配置有关。排查路径也很固定先看模型 API Key 有没有失效再看渠道的 token 是否被平台吊销最后看日志里有没有模型返回异常。这类问题 80% 是凭据过期而不是程序 bug。5.2 cpolar侧的穿透问题隧道建好了但访问时遇到 502八成是本地服务没有监听在你填写的端口上。用之前提到的ss -tlnp验证一下如果端口没监听说明 OpenClaw 没起来或者配置变更后没重启先把本地链路修通。遇到 404 则要检查隧道协议是不是选对了。HTTP 协议隧道访问返回 404多半是请求到了 cpolar 节点但没转发到本地或者本地服务返回了 404。TCP 隧道连不上则要确认是不是把 22 端口填成了 3000这种低级错误我犯过两次。还有免费域名的有效期问题。cpolar 免费版给的随机域名如果你长期不活跃可能被回收。解决方式还是那句话尽早去后台绑定固定二级域名一劳永逸。5.3 远程访问的安全自查清单最后整理一份我每次新部署都会过一遍的安全检查项建议你也照做OpenClaw 侧是否开启了登录鉴权还是打开页面就能直接操作cpolar 隧道是否设置了 Basic Auth访问地址是否强制弹账号密码框隧道列表里是否有不再使用的旧隧道有就立刻删除是否申请了固定域名而不是长期使用随机地址随机地址容易泄露给中间环节Agent 是否有权限访问宿主机所有目录如果只是读取笔记就不要把整个磁盘挂进容器。排查过一次之后你基本可以做到“穿透开着也放心”。远程访问这条路上出问题最频繁的从来不是工具本身而是细节没锁死。最后分享几条我个人现在养成的使用习惯。一个是家里主机重启后我会按固定顺序启动先启动 cpolar再启动 OpenClaw这样隧道先就位服务后启动访问链路不会出现“隧道通了但服务没起来”的中间状态。另一个是手机端把固定域名保存为主屏幕图标别每次现输网址。还有一个很小的技巧把常见任务做成模板比如“总结笔记”“收集周报”在外网只需要点一下就能触发比现场打字轻松太多。OpenClaw 加 cpolar 这套组合一旦跑顺你就会发现它和本地部署完全是两种体验。
