Bonjour 検出

​

Tailscale 経由の広域 Bonjour（ユニキャスト DNS-SD）

1. Tailnet 経由で到達可能な DNS サーバーを Gateway ホスト上で実行します。
2. 専用ゾーン（例：openclaw.internal.）の配下で、_openclaw-gw._tcp の DNS-SD レコードを公開します。
3. iOS を含むクライアントで、選択したドメインがその DNS サーバーを介して解決されるように、Tailscale のスプリット DNSを設定します。

​

Gateway の設定

{
  gateway: { bind: "tailnet" }, // Tailnet のみ（推奨）
  discovery: { wideArea: { enabled: true, domain: "openclaw.internal" } },
}

​

DNS サーバーの初回セットアップ（Gateway ホスト、macOS のみ）

openclaw dns setup --apply

• Gateway の Tailscale インターフェース上でのみポート 53 をリッスンする
• ~/.openclaw/dns/<domain>.db から選択したドメイン（例：openclaw.internal.）を提供する

dns-sd -B _openclaw-gw._tcp openclaw.internal.
dig @<TAILNET_IPV4> -p 53 _openclaw-gw._tcp.openclaw.internal PTR +short

​

Tailscale の DNS 設定

• Gateway の Tailnet IP（UDP/TCP 53）を指すネームサーバーを追加します。
• 検出ドメインがそのネームサーバーを使用するように、スプリット DNS を追加します。

​

Gateway リスナーのセキュリティ

​

アドバタイズするもの

​

サービスタイプ

• _openclaw-gw._tcp - macOS/iOS/Android Node が使用する Gateway トランスポートビーコン。

​

TXT キー（機密ではないヒント）

• Bonjour/mDNS TXT レコードは認証されていません。クライアントは TXT を信頼できるルーティング情報として扱ってはなりません。
• クライアントは、解決されたサービスエンドポイント（SRV + A/AAAA）を使用してルーティングする必要があります。lanHost、tailnetDns、gatewayPort、および gatewayTlsSha256 はヒントとしてのみ扱ってください。
• SSH の自動ターゲット設定も同様に、TXT のみのヒントではなく、解決されたサービスホストを使用する必要があります。
• TLS ピンニングでは、アドバタイズされた gatewayTlsSha256 が以前に保存されたピンを上書きすることを決して許可してはなりません。
• iOS/Android Node は、検出に基づく直接接続を TLS のみとして扱い、初回のフィンガープリントを信頼する前にユーザーの明示的な確認を必須とする必要があります。

​

macOS でのデバッグ

# インスタンスをブラウズ
dns-sd -B _openclaw-gw._tcp local.

# 1 つのインスタンスを解決（<instance> を置換）
dns-sd -L "<instance>" _openclaw-gw._tcp local.

​

Gateway ログでのデバッグ

• bonjour: advertise failed ...
• bonjour: suppressing ciao netmask assertion ...
• bonjour: ... name conflict resolved / hostname conflict resolved

​

iOS Node でのデバッグ

​

Bonjour を有効にする場合

openclaw plugins enable bonjour

​

Bonjour を無効にする場合

OPENCLAW_DISABLE_BONJOUR=1

openclaw plugins disable bonjour

​

Docker の注意点

• Bonjour は macOS ホストでは自動起動し、それ以外ではオプトインです。無効のままでも Gateway は停止せず、LAN マルチキャストアドバタイズのみを省略します。
• Bonjour を無効にしても gateway.bind は変更されません。Docker のデフォルトは引き続き OPENCLAW_GATEWAY_BIND=lan であるため、公開されたホストポートは機能します。
• Bonjour を無効にしても広域 DNS-SD は無効になりません。Gateway と Node が同じ LAN 上にない場合は、広域検出または Tailnet を使用します。
• Docker の外部で同じ OPENCLAW_CONFIG_DIR を再利用しても、コンテナの自動無効化ポリシーは保持されません。
• ホストネットワーキング、macvlan、または mDNS マルチキャストが通過することが分かっている別のネットワークでのみ OPENCLAW_DISABLE_BONJOUR=0 を設定してください。強制的に無効にするには 1 に設定します。

​

無効になった Bonjour のトラブルシューティング

1. Gateway が自動、強制有効、強制無効のどのモードで実行されているか確認します。
   docker compose config | grep OPENCLAW_DISABLE_BONJOUR
   
2. 公開されたポートを介して Gateway 自体に到達できることを確認します。
   curl -fsS http://127.0.0.1:18789/healthz
   
3. Bonjour が無効な場合は、直接ターゲットを使用します。
   • Control UI またはローカルツール：http://127.0.0.1:18789
   • LAN クライアント：http://<gateway-host>:18789
   • ネットワークをまたぐクライアント：Tailnet MagicDNS、Tailnet IP、SSH トンネル、または広域 DNS-SD
4. Docker で Bonjour Plugin を意図的に有効にし、OPENCLAW_DISABLE_BONJOUR=0 でアドバタイズを強制した場合は、ホストからマルチキャストをテストします。
   dns-sd -B _openclaw-gw._tcp local.
   
   ブラウズ結果が空の場合、または Gateway ログに ciao プローブの失敗が繰り返し表示される場合は、OPENCLAW_DISABLE_BONJOUR=1 を復元し、直接接続または Tailnet 経路を使用します。

​

一般的な障害モード

• Bonjour はネットワークを越えません：Tailnet または SSH を使用してください。
• マルチキャストがブロックされている：一部の Wi-Fi ネットワークでは mDNS が無効化されています。
• アドバタイザーがプローブ中またはアナウンス中のまま停止する：マルチキャストがブロックされたホスト、コンテナブリッジ、WSL、またはインターフェースの頻繁な変化により、レスポンダーが未アナウンス状態のままになることがあります。Gateway には、直接接続、SSH、Tailnet、または広域 DNS-SD ルートを介して引き続きアクセスできます。マルチキャストを利用できない場合は、discovery.mdns.mode: "off" または OPENCLAW_DISABLE_BONJOUR=1 を使用して LAN Bonjour を無効にしてください。
• Docker ブリッジネットワーク：検出されたコンテナ内では Bonjour が自動的に無効になります。OPENCLAW_DISABLE_BONJOUR=0 は、ホスト、macvlan、またはその他の mDNS 対応ネットワークでのみ設定してください。
• スリープやインターフェースの頻繁な変化：macOS では mDNS の結果が一時的に失われることがあります。再試行してください。
• 参照は機能するが名前解決に失敗する：マシン名は単純なものにし（絵文字や句読点を避ける）、Gateway を再起動してください。サービスインスタンス名はホスト名から生成されるため、複雑すぎる名前は一部のリゾルバーを混乱させることがあります。

​

エスケープされたインスタンス名（\032）

​

有効化／無効化／設定

​

関連ドキュメント

• 検出ポリシーとトランスポートの選択：検出
• Node のペアリングと承認：Gateway のペアリング