ネットワークプロキシ

​

設定

proxy:
  enabled: true
  proxyUrl: http://127.0.0.1:3128

OPENCLAW_PROXY_URL=http://127.0.0.1:3128 openclaw gateway run

openclaw config set proxy.enabled true
openclaw config set proxy.proxyUrl http://127.0.0.1:3128
openclaw gateway install --force
openclaw gateway start

​

プライベート CA を使用する HTTPS プロキシエンドポイント

proxy:
  enabled: true
  proxyUrl: https://proxy.corp.example:8443
  tls:
    caFile: /etc/openclaw/proxy-ca.pem

openclaw config set proxy.enabled true
openclaw config set proxy.proxyUrl https://proxy.corp.example:8443
openclaw config set proxy.tls.caFile /etc/openclaw/proxy-ca.pem
openclaw gateway run

​

ルーティングの仕組み

OpenClaw process
  fetch, node:http, node:https, WebSocket clients  -> operator proxy -> destination

• http://proxy.example:3128 — プロキシへのプレーン TCP。OpenClaw は HTTPS 宛先向けの CONNECT を含む HTTP プロキシリクエストを送信します。
• https://proxy.example:8443 — OpenClaw はプロキシ自体に TLS を開き（プロキシの証明書を検証し）、そのセッション内で HTTP プロキシリクエストを送信します。

​

Gateway ループバックモード

proxy:
  enabled: true
  proxyUrl: http://127.0.0.1:3128
  loopbackMode: gateway-only # gateway-only, proxy, or block

​

コンテナー

​

関連するプロキシ用語

• proxy.enabled / proxy.proxyUrl — ランタイム送信用の外向きフォワードプロキシルーティング。このページです。
• gateway.auth.mode: "trusted-proxy" — Gateway アクセス向けの内向き ID 対応リバースプロキシ認証。Trusted proxy auth を参照してください。
• openclaw proxy — 開発とサポート向けのローカルデバッグプロキシおよびキャプチャインスペクター。openclaw proxy を参照してください。
• tools.web.fetch.useTrustedEnvProxy — 厳格な DNS ピンニングとホスト名ポリシーをデフォルトで維持しながら、web_fetch がオペレーター制御の HTTP(S) 環境プロキシに DNS 解決を任せるためのオプトイン。Web fetch を参照してください。
• チャンネルまたはプロバイダー固有のプロキシ設定 — 1 つのトランスポート向けの所有者固有の上書き。ランタイム全体の中央送信制御には、管理対象ネットワークプロキシを優先してください。

​

プロキシの検証

• OpenClaw プロセス/ホスト/コンテナー/サービスアカウントだけが到達できるように、ループバックまたは信頼済みのプライベートインターフェイスにのみバインドします。
• 宛先を自身で解決し、プレーン HTTP と HTTPS CONNECT トンネルの両方について、接続時点で DNS 解決後の IP に基づいてブロックします。
• ループバック、プライベート、リンクローカル、メタデータ、マルチキャスト、予約済み、ドキュメント用範囲に対する宛先ベースのバイパスを拒否します。
• DNS 解決パスを完全に信頼している場合を除き、ホスト名許可リストは避けます。
• 宛先、判断、ステータス、理由をログに記録します。リクエスト本文、認可ヘッダー、Cookie、その他のシークレットは絶対に記録しないでください。
• ポリシーをバージョン管理下に置き、変更をセキュリティ上重要なものとしてレビューします。

openclaw proxy validate --proxy-url http://127.0.0.1:3128

openclaw proxy validate --proxy-url https://proxy.corp.example:8443 --proxy-ca-file /etc/openclaw/proxy-ca.pem

{
  "ok": true,
  "config": {
    "enabled": true,
    "proxyUrl": "http://127.0.0.1:3128/",
    "source": "override",
    "errors": []
  },
  "checks": [
    { "kind": "allowed", "url": "https://example.com/", "ok": true, "status": 200 },
    { "kind": "apns", "url": "https://api.sandbox.push.apple.com", "ok": true, "status": 403 }
  ]
}

curl -x http://127.0.0.1:3128 https://example.com/
curl -x http://127.0.0.1:3128 http://127.0.0.1/
curl -x http://127.0.0.1:3128 http://169.254.169.254/

​

推奨されるブロック対象宛先

​

制限

• これは JavaScript HTTP/WebSocket クライアントに対するプロセスレベルのカバレッジであり、OS レベルのネットワークサンドボックスではない。
• Raw net、tls、http2 ソケット、ネイティブアドオン、および OpenClaw 以外の child process は、プロキシ環境変数を継承し尊重しない限り、Node レベルのルーティングをバイパスする可能性がある。fork された OpenClaw child CLI は、管理プロキシ URL と proxy.loopbackMode 状態を継承する。
• ユーザーのローカル WebUI とローカルモデルサーバーは、一般的なローカルネットワークバイパスの対象ではない。必要に応じて operator プロキシポリシーで allowlist に追加する。例外は、バンドルされた Ollama メモリ embedding provider の guarded direct path であり、構成された baseUrl からの正確な host-local loopback origin にスコープされる。LAN、tailnet、プライベートネットワーク、および公開 Ollama ホストは引き続き管理プロキシを使用する。
• ローカルデバッグプロキシの直接 upstream 転送（プロキシリクエストと CONNECT トンネル用）は、管理プロキシモードがアクティブな間はデフォルトで無効化される。承認済みのローカル診断にのみ有効化する。
• OpenClaw はプロキシポリシーを検査、テスト、または認証しない。プロキシポリシーの変更は、セキュリティ上重要な運用変更として扱う。