Ağ proxy'si

​

Neden proxy kullanılır

• Merkezi ilke: ağ kurallarını doğru uygulaması için her uygulama HTTP çağrı noktasına güvenmek yerine tek bir çıkış ilkesi sürdürün.
• Bağlantı anı denetimleri: hedefi DNS çözümlemesinden sonra ve proxy yukarı akış bağlantısını açmadan hemen önce değerlendirin.
• DNS yeniden bağlama savunması: uygulama düzeyi DNS denetimi ile gerçek giden bağlantı arasındaki boşluğu azaltın.
• Daha geniş JavaScript kapsamı: sıradan fetch, node:http, node:https, WebSocket, axios, got, node-fetch ve benzer istemcileri aynı yoldan yönlendirin.
• Denetlenebilirlik: izin verilen ve reddedilen hedefleri çıkış sınırında günlüğe kaydedin.
• Operasyonel kontrol: OpenClaw’ı yeniden derlemeden hedef kurallarını, ağ segmentasyonunu, hız sınırlarını veya giden izin listelerini zorunlu kılın.

​

OpenClaw trafiği nasıl yönlendirir

OpenClaw process
  fetch                  -> operator-managed filtering proxy -> public internet
  node:http and https    -> operator-managed filtering proxy -> public internet
  WebSocket clients      -> operator-managed filtering proxy -> public internet

• http://proxy.example:3128: OpenClaw ileri proxy’ye düz bir TCP bağlantısı açar ve HTTPS hedefleri için CONNECT dahil HTTP proxy istekleri gönderir.
• https://proxy.example:8443: OpenClaw proxy uç noktasına TLS açar, proxy sertifikasını doğrular ve ardından HTTP proxy isteklerini bu TLS oturumu içinde gönderir.

​

İlgili proxy terimleri

• proxy.enabled / proxy.proxyUrl: OpenClaw çalışma zamanı çıkışı için giden ileri proxy yönlendirmesi. Bu sayfa bu özelliği belgeler.
• gateway.auth.mode: "trusted-proxy": Gateway erişimi için gelen, kimlik farkındalıklı ters proxy kimlik doğrulaması. Bkz. Güvenilir proxy kimlik doğrulaması.
• openclaw proxy: geliştirme ve destek için yerel hata ayıklama proxy’si ve yakalama inceleyicisi. Bkz. openclaw proxy.
• tools.web.fetch.useTrustedEnvProxy: varsayılan katı DNS sabitlemesini ve ana makine adı ilkesini korurken operatör denetimli HTTP(S) ortam proxy’sinin DNS çözmesine izin vermek için web_fetch için isteğe bağlı etkinleştirme. Bkz. Web fetch.
• Kanal veya sağlayıcıya özgü proxy ayarları: belirli bir aktarım için sahipliğe özgü geçersiz kılmalar. Amaç çalışma zamanı genelinde merkezi çıkış kontrolü olduğunda yönetilen ağ proxy’sini tercih edin.

​

Yapılandırma

proxy:
  enabled: true
  proxyUrl: http://127.0.0.1:3128

proxy:
  enabled: true
  proxyUrl: https://proxy.corp.example:8443
  tls:
    caFile: /etc/openclaw/proxy-ca.pem

OPENCLAW_PROXY_URL=http://127.0.0.1:3128 openclaw gateway run

​

Gateway Loopback Modu

proxy:
  enabled: true
  proxyUrl: http://127.0.0.1:3128
  loopbackMode: gateway-only # gateway-only, proxy, or block

• gateway-only (varsayılan): OpenClaw, yerel Gateway WebSocket trafiğinin doğrudan bağlanabilmesi için Gateway loopback yetkilisini Proxyline’ın yönetilen atlama ilkesine kaydeder. Etkin Gateway URL’sinin ana makinesi ve bağlantı noktası kaydedildiğinden özel loopback Gateway bağlantı noktaları çalışır. Paketle gelen tarayıcı Plugin’i de OpenClaw tarafından başlatılan yönetilen tarayıcılar için tam yerel CDP hazırlık ve DevTools WebSocket uç noktalarını kaydedebilir ve paketle gelen Ollama bellek embedding sağlayıcısı, tam yapılandırılmış ana makine yerel loopback embedding kaynağı için kendi daha dar korumalı doğrudan yolunu kullanabilir.
• proxy: OpenClaw, Gateway veya Ollama loopback atlamalarını kaydetmez, bu nedenle bu loopback trafiği yönetilen proxy üzerinden gönderilir. Proxy uzaktaysa, OpenClaw ana makinesinin loopback hizmeti için onu proxy’nin erişebileceği bir ana makine adına, IP’ye veya tünele eşlemek gibi özel yönlendirme sağlamalıdır. Standart uzak proxy’ler 127.0.0.1 ve localhost değerlerini OpenClaw ana makinesinden değil, proxy ana makinesinden çözer.
• block: OpenClaw, bir soket açmadan önce Gateway loopback denetim düzlemi bağlantılarını ve korumalı Ollama ana makine yerel embedding loopback bağlantılarını reddeder.

openclaw config set proxy.enabled true
openclaw config set proxy.proxyUrl http://127.0.0.1:3128
openclaw gateway install --force
openclaw gateway start

​

Proxy Gereksinimleri

• Yalnızca loopback veya özel güvenilir bir arayüze bağlayın.
• Erişimi yalnızca OpenClaw sürecinin, ana makinesinin, konteynerinin veya hizmet hesabının kullanabileceği şekilde kısıtlayın.
• Hedefleri kendisi çözsün ve DNS çözümlemesinden sonra hedef IP’leri engellesin.
• Hem düz HTTP istekleri hem de HTTPS CONNECT tünelleri için ilkeyi bağlantı anında uygulayın.
• Loopback, özel, link-local, metadata, multicast, ayrılmış veya dokümantasyon aralıkları için hedef tabanlı atlamaları reddedin.
• DNS çözümleme yoluna tamamen güvenmediğiniz sürece ana makine adı izin listelerinden kaçının.
• İstek gövdelerini, yetkilendirme başlıklarını, çerezleri veya diğer sırları günlüğe kaydetmeden hedefi, kararı, durumu ve nedeni günlüğe kaydedin.
• Proxy ilkesini sürüm kontrolü altında tutun ve değişiklikleri güvenlik açısından hassas yapılandırma gibi gözden geçirin.

​

Önerilen engellenen hedefler

​

Doğrulama

openclaw proxy validate --proxy-url http://127.0.0.1:3128

openclaw proxy validate --proxy-url https://proxy.corp.example:8443 --proxy-ca-file /etc/openclaw/proxy-ca.pem

{
  "ok": true,
  "config": {
    "enabled": true,
    "proxyUrl": "http://127.0.0.1:3128/",
    "source": "override",
    "errors": []
  },
  "checks": [
    {
      "kind": "allowed",
      "url": "https://example.com/",
      "ok": true,
      "status": 200
    },
    {
      "kind": "apns",
      "url": "https://api.sandbox.push.apple.com",
      "ok": true,
      "status": 403
    }
  ]
}

curl -x http://127.0.0.1:3128 https://example.com/
curl -x http://127.0.0.1:3128 http://127.0.0.1/
curl -x http://127.0.0.1:3128 http://169.254.169.254/

​

Proxy CA güveni

proxy:
  enabled: true
  proxyUrl: https://proxy.corp.example:8443
  tls:
    caFile: /etc/openclaw/proxy-ca.pem

openclaw config set proxy.enabled true
openclaw config set proxy.proxyUrl https://proxy.corp.example:8443
openclaw config set proxy.tls.caFile /etc/openclaw/proxy-ca.pem
openclaw gateway run

proxy:
  enabled: true
  proxyUrl: https://proxy.corp.example:8443
  tls:
    caFile: /etc/openclaw/proxy-ca.pem

​

Sınırlar

• Proxy, işlem yerel JavaScript HTTP ve WebSocket istemcileri için kapsamı iyileştirir, ancak işletim sistemi düzeyinde bir ağ korumalı alanı değildir.
• Gateway geri döngü denetim düzlemi trafiği varsayılan olarak proxy.loopbackMode: "gateway-only" üzerinden doğrudan yerel baypasa gider. OpenClaw bu baypası, etkin Gateway geri döngü yetkilisini Proxyline’ın yönetilen baypas politikasına kaydederek uygular. Operatörler, Gateway geri döngü trafiğini yönetilen proxy üzerinden göndermek için proxy.loopbackMode: "proxy" veya geri döngü Gateway bağlantılarını reddetmek için proxy.loopbackMode: "block" ayarlayabilir. Uzak proxy uyarısı için Gateway Geri Döngü Modu bölümüne bakın.
• Ham net, tls ve http2 soketleri, yerel eklentiler ve OpenClaw dışı alt işlemler, proxy ortam değişkenlerini devralıp bunlara uymadıkları sürece Node düzeyi proxy yönlendirmesini baypas edebilir. Çatallanan OpenClaw alt CLI’ları yönetilen proxy URL’sini ve proxy.loopbackMode durumunu devralır.
• IRC, operatör tarafından yönetilen ileri proxy yönlendirmesinin dışında kalan ham bir TCP/TLS kanalıdır. Tüm çıkış trafiğinin bu ileri proxy üzerinden geçmesini gerektiren dağıtımlarda, doğrudan IRC çıkışı açıkça onaylanmadıkça channels.irc.enabled=false ayarlayın.
• Yerel hata ayıklama proxy’si tanılama aracıdır ve proxy istekleri ile CONNECT tünelleri için doğrudan yukarı akış iletimi, yönetilen proxy modu etkinken varsayılan olarak devre dışıdır; doğrudan iletimi yalnızca onaylı yerel tanılamalar için etkinleştirin.
• Kullanıcı yerel WebUI’ları ve yerel model sunucuları gerektiğinde operatör proxy politikasında izin listesine alınmalıdır; OpenClaw bunlar için genel bir yerel ağ baypası sunmaz. Paketlenmiş Ollama bellek gömme sağlayıcısı daha dardır: yönetilen proxy ana makine geri döngüsüne ulaşamadığında ana makine yerel gömmelerin çalışmaya devam etmesi için yalnızca yapılandırılmış baseUrl değerinden türetilen tam ana makine yerel geri döngü gömme kaynağı için korumalı bir doğrudan yol kullanabilir. LAN, tailnet, özel ağ ve genel Ollama gömme ana makineleri yine yönetilen proxy yolunu kullanır. proxy.loopbackMode: "proxy" bu Ollama geri döngü trafiğini yönetilen proxy üzerinden gönderir ve proxy.loopbackMode: "block" bağlantı açmadan önce bunu reddeder.
• Gateway denetim düzlemi proxy baypası bilerek localhost ve değişmez geri döngü IP URL’leriyle sınırlıdır. Yerel doğrudan Gateway denetim düzlemi bağlantıları için ws://127.0.0.1:18789, ws://[::1]:18789 veya ws://localhost:18789 kullanın; diğer ana makine adları sıradan ana makine adı tabanlı trafik gibi yönlendirilir.
• OpenClaw proxy politikanızı incelemez, test etmez veya sertifikalandırmaz.
• Proxy politikası değişikliklerini güvenlik açısından hassas operasyonel değişiklikler olarak ele alın.