Перейти к основному содержанию
Gateway обслуживает небольшой браузерный интерфейс управления (Vite + Lit) на том же порту, что и WebSocket Gateway:
  • по умолчанию: http://<host>:18789/
  • с gateway.tls.enabled: true: https://<host>:18789/
  • необязательный префикс: задайте gateway.controlUi.basePath (например, /openclaw)
Возможности описаны в интерфейсе управления. Остальная часть этой страницы посвящена режимам привязки, безопасности и поверхностям, доступным из веба.

​
Webhook

Когда hooks.enabled=true, Gateway также предоставляет небольшой endpoint Webhook на том же HTTP-сервере. См. конфигурацию Gateway → hooks для аутентификации и payload.

​
Административный HTTP RPC

Административный HTTP RPC предоставляет выбранные методы плоскости управления Gateway по адресу POST /api/v1/admin/rpc. По умолчанию он отключен и регистрируется только при включенном plugin admin-http-rpc. См. Административный HTTP RPC для модели аутентификации, разрешенных методов и сравнения с WebSocket.

​
Конфигурация (включено по умолчанию)

Интерфейс управления включен по умолчанию, когда присутствуют ресурсы (dist/control-ui). Им можно управлять через конфигурацию: 
{
  gateway: {
    controlUi: { enabled: true, basePath: "/openclaw" }, // basePath optional
  },
}

​
Доступ через Tailscale

​
Интегрированный Serve (рекомендуется)

Оставьте Gateway на loopback и позвольте Tailscale Serve проксировать его: 
{
  gateway: {
    bind: "loopback",
    tailscale: { mode: "serve" },
  },
}
Затем запустите gateway: 
openclaw gateway
Откройте:
  • https://<magicdns>/ (или настроенный вами gateway.controlUi.basePath)

​
Привязка к Tailnet + токен

{
  gateway: {
    bind: "tailnet",
    controlUi: { enabled: true },
    auth: { mode: "token", token: "your-token" },
  },
}
Затем запустите gateway (этот пример не на loopback использует аутентификацию по токену общего секрета): 
openclaw gateway
Откройте:
  • http://<tailscale-ip>:18789/ (или настроенный вами gateway.controlUi.basePath)

​
Публичный интернет (Funnel)

{
  gateway: {
    bind: "loopback",
    tailscale: { mode: "funnel" },
    auth: { mode: "password" }, // or OPENCLAW_GATEWAY_PASSWORD
  },
}

​
Примечания по безопасности

  • Аутентификация Gateway требуется по умолчанию (токен, пароль, доверенный прокси или заголовки идентификации Tailscale Serve, если включены).
  • Привязки не к loopback все равно требуют аутентификацию gateway. На практике это означает аутентификацию по токену/паролю или обратный прокси с учетом идентификации и gateway.auth.mode: "trusted-proxy".
  • Мастер по умолчанию создает аутентификацию с общим секретом и обычно генерирует токен gateway (даже на loopback).
  • В режиме общего секрета UI отправляет connect.params.auth.token или connect.params.auth.password.
  • Когда gateway.tls.enabled: true, локальная панель управления и вспомогательные средства статуса отображают URL панели управления с https:// и URL WebSocket с wss://.
  • В режимах с идентификацией, таких как Tailscale Serve или trusted-proxy, проверка аутентификации WebSocket вместо этого удовлетворяется заголовками запроса.
  • Для публичных развертываний интерфейса управления не на loopback явно задайте gateway.controlUi.allowedOrigins (полные origins). Приватные загрузки из LAN/Tailnet с тем же origin принимаются для loopback, RFC1918/link-local, .local, .ts.net и хостов Tailscale CGNAT.
  • gateway.controlUi.dangerouslyAllowHostHeaderOriginFallback=true включает резервный режим origin по заголовку Host, но это опасное снижение безопасности.
  • При Serve заголовки идентификации Tailscale могут удовлетворять аутентификацию Control UI/WebSocket, когда gateway.auth.allowTailscale равно true (токен/пароль не требуется). Endpoint HTTP API не используют эти заголовки идентификации Tailscale; вместо этого они следуют обычному режиму HTTP-аутентификации gateway. Задайте gateway.auth.allowTailscale: false, чтобы требовать явные учетные данные. См. Tailscale и Безопасность. Этот поток без токена предполагает, что хост gateway является доверенным.
  • gateway.tailscale.mode: "funnel" требует gateway.auth.mode: "password" (общий пароль).

​
Сборка UI

Gateway обслуживает статические файлы из dist/control-ui. Соберите их с помощью: 
pnpm ui:build