通过 Tailscale 网格安全访问租赁云 Mac 上的 OpenClaw 网关（2026）

在 港 / 日 / 韩 / 新 / 美 用 Apple Silicon Mac mini 跑 OpenClaw 时，工程师需要稳定触达 127.0.0.1:18789，又不想把攻击面铺到公网。Tailscale 这类网格 VPN 提供 100.x 地址、可审计 ACL，以及比临时 SSH 隧道更可读的团队入职路径。建议先读 安装与部署、环境变量与密钥，出问题时对照 网关排障。

为何网格 + OpenClaw

• 笔记本漫游时仍能连到同一台云 Mac。
• 用标签拆分「运维」与「普通 VPN 用户」。
• 跨区（例如 JP 调 SG）走稳定 TCP，而非一次性隧道脚本。
• SSH 仍是自动化壳；网格是传输层策略。

云 Mac 安装清单

1. 确认补丁与 SSH 暴露策略与 帮助中心 一致。
2. 无头安装网格客户端（预授权或密钥流）。
3. 在控制台为机器打标签，便于 ACL 引用。
4. 重启后确认与 OpenClaw LaunchAgent 一同恢复。

网关绑定与 18789

常见做法：OpenClaw 监听回环，通过 SSH 本地转发暴露给授权笔记本：

ssh -N -L 18789:127.0.0.1:18789 user@100.x.y.z

其中 100.x.y.z 为云 Mac 的网格地址。也可在仅绑定 mesh 网卡的反向代理上终止 TLS，需与 Docker 与 npm 选型写在同一 README。

ACL 与最小权限

策略切片	对象	端口/路径
运维	值班与资深 IC	SSH + 转发的 18789
CI 机器人	服务账户	仅回环 API
只读观察	支持/PM	若暴露则仅状态路由

纯 SSH 与网格优先

关注点	仅 SSH	网格优先
稳定路径	NAT 变更易断	✓ 100.x 稳定
审计	主机日志	✓ 控制平面 + 主机
复杂度	低	需维护 ACL

DNS 与模型供应商

若启用 MagicDNS，确认不会覆盖企业拆分区域导致 新加坡 依赖注册表解析失败。先在 结构化日志 里抓到一次失败解析，再怀疑网关。

常见问题

问题	回答
能完全不用 SSH 吗？	不现实——openclaw doctor 与磁盘排障仍要 shell。
网格能修重复 LaunchAgent 吗？	不能，网络变更后仍要跑 doctor。
数据驻留？	控制平面位置 ≠ 机器区域——先选 节点区域 再叠 VPN 策略。

为何选 MacXCode Mac mini M4

7×24 网关需要低空闲功耗与NVMe余量承载日志与工作区。用 定价 选对磁盘，再把网格 + SSH 写入 帮助中心，新员工即可复用同一 100.x 路径。