Мережевий проксі

​

Конфігурація

proxy:
  enabled: true
  proxyUrl: http://127.0.0.1:3128

OPENCLAW_PROXY_URL=http://127.0.0.1:3128 openclaw gateway run

openclaw config set proxy.enabled true
openclaw config set proxy.proxyUrl http://127.0.0.1:3128
openclaw gateway install --force
openclaw gateway start

​

Кінцева точка проксі-сервера HTTPS із приватним ЦС

proxy:
  enabled: true
  proxyUrl: https://proxy.corp.example:8443
  tls:
    caFile: /etc/openclaw/proxy-ca.pem

openclaw config set proxy.enabled true
openclaw config set proxy.proxyUrl https://proxy.corp.example:8443
openclaw config set proxy.tls.caFile /etc/openclaw/proxy-ca.pem
openclaw gateway run

​

Як працює маршрутизація

OpenClaw process
  fetch, node:http, node:https, WebSocket clients  -> operator proxy -> destination

• http://proxy.example:3128 — звичайне TCP-з’єднання з проксі-сервером; OpenClaw надсилає проксі-запити HTTP, зокрема CONNECT для призначень HTTPS.
• https://proxy.example:8443 — OpenClaw установлює TLS-з’єднання із самим проксі-сервером (перевіряючи його сертифікат), а потім надсилає проксі-запити HTTP у межах цього сеансу.

​

Режим зворотного інтерфейсу Gateway

proxy:
  enabled: true
  proxyUrl: http://127.0.0.1:3128
  loopbackMode: gateway-only # gateway-only, proxy, or block

​

Контейнери

​

Пов’язані терміни проксі-сервера

• proxy.enabled / proxy.proxyUrl — маршрутизація вихідного трафіку середовища виконання через прямий проксі-сервер. Ця сторінка.
• gateway.auth.mode: "trusted-proxy" — автентифікація через вхідний зворотний проксі-сервер з урахуванням ідентичності для доступу до Gateway. Див. Автентифікація через довірений проксі-сервер.
• openclaw proxy — локальний проксі-сервер налагодження та інспектор захоплених даних для розробки й підтримки. Див. openclaw proxy.
• tools.web.fetch.useTrustedEnvProxy — явне ввімкнення для web_fetch, яке дає змогу контрольованому оператором проксі-серверу HTTP(S), заданому через середовище, розв’язувати DNS, водночас типово зберігаючи суворе прив’язування DNS і політику імен вузлів. Див. Отримання даних із вебу.
• Налаштування проксі-сервера для окремих каналів або постачальників — специфічні для власника перевизначення одного транспорту. Для централізованого контролю вихідного трафіку в усьому середовищі виконання віддавайте перевагу керованому мережевому проксі-серверу.

​

Перевірка проксі-сервера

• Прив’язувався лише до зворотного інтерфейсу або приватного довіреного інтерфейсу, доступного тільки процесу, вузлу, контейнеру або службовому обліковому запису OpenClaw.
• Самостійно розв’язував призначення та блокував їх за IP-адресою після розв’язання DNS, під час підключення, як для звичайного HTTP, так і для тунелів HTTPS CONNECT.
• Відхиляв обхід за призначенням для зворотних, приватних, локальних для каналу, службових метаданих, багатоадресних, зарезервованих і документаційних діапазонів.
• Уникав списків дозволених імен вузлів, якщо ви не повністю довіряєте шляху розв’язання DNS.
• Записував у журнал призначення, рішення, стан і причину — але ніколи не тіла запитів, заголовки авторизації, файли cookie або інші секрети.
• Зберігав політику під керуванням версій і розглядав зміни як чутливі з погляду безпеки.

openclaw proxy validate --proxy-url http://127.0.0.1:3128

openclaw proxy validate --proxy-url https://proxy.corp.example:8443 --proxy-ca-file /etc/openclaw/proxy-ca.pem

{
  "ok": true,
  "config": {
    "enabled": true,
    "proxyUrl": "http://127.0.0.1:3128/",
    "source": "override",
    "errors": []
  },
  "checks": [
    { "kind": "allowed", "url": "https://example.com/", "ok": true, "status": 200 },
    { "kind": "apns", "url": "https://api.sandbox.push.apple.com", "ok": true, "status": 403 }
  ]
}

curl -x http://127.0.0.1:3128 https://example.com/
curl -x http://127.0.0.1:3128 http://127.0.0.1/
curl -x http://127.0.0.1:3128 http://169.254.169.254/

​

Рекомендовані заблоковані призначення

​

Обмеження

• Це охоплення на рівні процесу для HTTP/WebSocket-клієнтів JavaScript, а не мережева пісочниця на рівні ОС.
• Необроблені сокети net, tls, http2, нативні доповнення та дочірні процеси, що не належать OpenClaw, можуть обходити маршрутизацію на рівні Node, якщо вони не успадковують і не враховують змінні середовища проксі. Розгалужені дочірні CLI OpenClaw успадковують URL-адресу керованого проксі та стан proxy.loopbackMode.
• Локальні WebUI користувача та локальні сервери моделей не охоплюються загальним обходом локальної мережі — за потреби додайте їх до списку дозволених у політиці проксі оператора. Винятком є захищений прямий шлях вбудованого постачальника векторних представлень пам’яті Ollama, обмежений точним джерелом local loopback локального хоста з його налаштованого baseUrl; хости Ollama в LAN, tailnet, приватній і публічній мережах усе одно використовують керований проксі.
• Пряме пересилання до висхідного сервера локального налагоджувального проксі (для проксі-запитів і тунелів CONNECT) за замовчуванням вимкнено, коли активний режим керованого проксі; вмикайте його лише для схваленої локальної діагностики.
• OpenClaw не перевіряє, не тестує та не сертифікує вашу політику проксі. Розглядайте зміни політики проксі як операційні зміни, критичні для безпеки.