OpenClaw-Gateway über Tailscale-Mesh auf gemietetem Cloud-Mac (2026)
Teams mit 24/7-OpenClaw auf gemietetem Apple Silicon in HK, JP, KR, SG und den USA brauchen einen stabilen Weg zu 127.0.0.1:18789, ohne öffentliche Angriffsfläche. Tailscale liefert stabile 100.x-Adressen, ACL-geprüften Ost-West-Traffic und nachvollziehbare Logs. Dieses Playbook ergänzt Installation & Deploy, gehört neben Umgebung & API-Schlüssel und steht vor Gateway-Troubleshooting.
Warum Mesh für OpenClaw
- Roaming-Laptops erreichen denselben Cloud-Mac trotz Hotel-NAT.
- Rollen trennen — z. B.
tag:openclaw-operatorsseparat von allgemeinen VPN-Nutzern. - Cross-Region (JP-Build zu SG-Gateway) wird zuverlässiges TCP statt Bastel-SSH.
- SSH bleibt für Shell-Automation; Mesh ist Transport, kein Ersatz für sauberes
launchd.
Checkliste auf dem Cloud-Mac
- Host gepatcht; SSH nur wie in Hilfe dokumentiert.
- Mesh-Client mit unattended- oder Auth-Key-Flow für Headless-Macs.
- Machine-Tag setzen, damit ACLs
tag:macxcode-nodeansprechen können. - Neustart: Dämon und OpenClaw-LaunchAgent kommen per
launchctlzurück.
Gateway-Bindung und Port 18789
Sinnvolle Setups binden OpenClaw an Loopback und leiten gezielt weiter:
ssh -N -L 18789:127.0.0.1:18789 user@100.x.y.z
100.x.y.z ist die Mesh-Adresse des gemieteten Macs. Alternative: TLS auf lokalem Reverse-Proxy nur am Mesh-Interface — dokumentieren Sie das gemeinsam mit Docker vs. nativ npm.
0.0.0.0:18789 nur wegen Tailscale zu öffnen überrascht Firewall-Auditoren—Default Deny, explizites Allow.
ACLs, Tags, Least Privilege
| Richtlinien-Slice | Wer | Ports / Pfade |
|---|---|---|
| Operatoren | On-Call & Senior ICs | SSH + weitergeleitetes 18789 |
| CI-Bots | Service-User | Kein Mesh-UI—nur Loopback-API |
| Beobachter | PM / Support | Nur Status-Routen, falls exponiert |
Entscheidung: Nur SSH vs. Mesh-first
| Thema | Nur SSH | Mesh-first |
|---|---|---|
| Stabiler Laptop → Mac | bricht bei NAT-Wechsel | ✓ 100.x bleibt |
| Audit | Host-Logs | ✓ Tailnet- zentral + Host |
| Komplexität | niedriger Start | höher—ACL-Pflege nötig |
DNS und Modellanbieter
OpenClaw muss OpenAI, Anthropic oder Spiegel zuverlässig auflösen. Prüfen Sie bei MagicDNS, dass keine Kollision mit firmeninternem Split-Horizon für Ihr SG-Registry entsteht. Ein fehlgeschlagener Lookup gehört zuerst in strukturierte Logs, nicht in „Gateway ist flaky“.
FAQ
| Frage | Antwort |
|---|---|
| SSH komplett weg? | Unrealistisch für macOS-Ops—Shell für openclaw doctor bleibt. |
| Mesh fixiert doppelte LaunchAgents? | Nein—doctor nach Netzänderungen. |
| Data-Residency? | Control-Plane-Region ≠ Mac-Region—zuerst Hardware-Region, dann VPN-Policy. |
Mac mini M4 bei MacXCode
Mac mini M4 Miete liefert planbare Idle-Watt für Gateways, NVMe für Logs/Workspaces und Regionwahl passend zur Mesh-Latenz. Preise prüfen, dann Mesh+SSH in Runbooks verankern.
Fazit: Tailscale ist Transport-Policy—kombinieren Sie mit Localhost-Gateway, ACLs und CI-Secret-Disziplin.
