核心模型
大多数操作都通过 Gateway 网关（openclaw gateway）进行。它是一个长期运行的单一进程，负责管理渠道连接和 WebSocket 控制平面。
- 优先使用环回地址：Gateway 网关 WS 默认使用
ws://127.0.0.1:18789。 如果没有有效的 Gateway 网关身份验证路径，非环回地址绑定将拒绝启动： 共享密钥令牌/密码身份验证，或正确配置的非环回地址trusted-proxy部署。 - 建议每台主机运行一个 Gateway 网关。如需隔离，请使用相互独立的配置文件和端口运行多个 Gateway 网关（多个 Gateway 网关）。
- Canvas 主机与 Gateway 网关使用同一端口（
/__openclaw__/canvas/、/__openclaw__/a2ui/）提供服务；绑定到环回地址以外的地址时，受 Gateway 网关身份验证保护。 - 远程访问通常使用 SSH 隧道或 Tailscale VPN（远程访问）。
配对 + 身份
本地信任：- 直接通过 local loopback 连接时（无转发标头/代理标头），可自动批准配对， 以确保同一主机上的用户体验顺畅。
- OpenClaw 还提供一个严格受限的后端/容器本地自连接路径， 供受信任的共享密钥辅助程序流程使用。
- Tailnet 和 LAN 客户端（包括同一主机上的 tailnet 绑定）仍需 明确批准配对。