主机加固

保护运行OpenClaw的Linux服务器。

前提条件

• - 操作系统： Linux（Ubuntu/Debian — 其他发行版请调整软件包命令）
• 权限： 需要root或sudo权限 — 本技能会修改系统级安全配置
• 预检查： 在禁用密码认证前，请确认已配置基于SSH密钥的访问方式

⚠️ 以下所有命令都会修改系统配置。运行每个部分前请先征得用户同意。 未经明确批准，请勿自动执行这些命令。

SSH — 仅密钥认证

禁用密码认证。请先确保基于密钥的SSH能正常工作，否则您将被锁定在外。

bash
sed -i s/^#PermitRootLogin./PermitRootLogin prohibit-password/ /etc/ssh/sshd_config
sed -i s/^#PasswordAuthentication./PasswordAuthentication no/ /etc/ssh/sshd_config
systemctl restart ssh

防火墙 — 除SSH外全部拒绝

bash
ufw default deny incoming
ufw default allow outgoing
ufw allow ssh
yes | ufw enable

根据需要添加更多规则（例如，为HTTPS添加ufw allow 443）。

Fail2ban — 暴力破解防护

通过apt（Debian/Ubuntu）安装fail2ban。其他包管理器请自行调整。

bash
apt-get install -y fail2ban
systemctl enable --now fail2ban

默认配置保护SSH。自定义监狱配置：/etc/fail2ban/jail.local。

OpenClaw凭据

bash
chmod 700 ~/.openclaw/credentials

OpenClaw网关服务（可选）

创建一个systemd服务，用于重启时自动启动。以root身份运行 — 启用前请先检查服务文件。

bash
cat > /etc/systemd/system/openclaw-gateway.service << EOF
[Unit]
Description=OpenClaw网关
After=network-online.target
Wants=network-online.target
[Service]
Type=simple
ExecStart=/usr/bin/env openclaw gateway
Restart=always
RestartSec=5
User=root
WorkingDirectory=/root/.openclaw
Environment=HOME=/root
[Install]
WantedBy=multi-user.target
EOF
systemctl daemon-reload && systemctl enable openclaw-gateway

验证

bash
ufw status # 应显示active，SSH已允许
systemctl is-active fail2ban # 应显示active
grep PasswordAuthentication /etc/ssh/sshd_config # 应显示no
stat -c %a ~/.openclaw/credentials # 应显示700
systemctl is-enabled openclaw-gateway # 应显示enabled

经验教训

• - 在Ubuntu上，SSH服务名为ssh而非sshd
• AWS安全组提供网络层面的过滤，但UFW是纵深防御的一部分
• 在禁用密码认证前，务必验证基于密钥的SSH访问是否正常
• 网关服务是可选的 — 仅在需要OpenClaw在重启后继续运行时才需要

本工具遵循Agent-Native CLI约定。验证方式：clawhub install ancc && ancc validate .

如果本文档出现在其他位置，以上链接为权威版本。