OpenClaw 服务器安全策略：公网部署如何防御恶意攻击与扫描

公网服务器 = 攻击目标

这不是危言耸听：一台全新的云服务器上线后，通常在几分钟内就会收到第一波自动化扫描和暴力破解尝试。

部署 OpenClaw 后，你的服务器上存储着大模型 API Key、用户对话记录、业务数据——这些都是高价值目标。

本文将系统梳理公网部署 OpenClaw 时面临的安全威胁，以及对应的防御策略。

---

威胁分析

威胁类型	攻击方式	影响
SSH 暴力破解	字典攻击 root 密码	服务器被控制
端口扫描	探测开放服务	暴露攻击面
Web 漏洞利用	针对 Dashboard 的攻击	数据泄露
API Key 盗取	中间人攻击/日志泄露	产生高额费用
DDoS	流量洪水	服务不可用

---

防御策略一：最小化暴露面

原则

只开放必须的端口，其他全部关闭。

在 腾讯云控制台 的防火墙中配置：

✅ TCP 22 (SSH) — 仅允许你的 IP
✅ TCP 443 (HTTPS) — 如配置了 SSL
✅ TCP 3210 (OpenClaw) — 按需限制 IP
❌ 其他所有端口 — 默认拒绝

隐藏 SSH 端口

# /etc/ssh/sshd_config
Port 2222  # 改为非标准端口

systemctl restart sshd

仅此一步就能减少 90% 以上的自动化暴力破解。

---

防御策略二：SSH 加固

密钥认证 + 禁用密码

# /etc/ssh/sshd_config
PasswordAuthentication no
PubkeyAuthentication yes
PermitRootLogin prohibit-password
MaxAuthTries 3

fail2ban 自动封禁

apt install fail2ban -y

# /etc/fail2ban/jail.local
[sshd]
enabled = true
port = 2222
maxretry = 3
bantime = 3600
findtime = 600

systemctl enable fail2ban
systemctl start fail2ban

查看封禁记录：

fail2ban-client status sshd

---

防御策略三：Web 服务加固

启用 HTTPS

绝对不要在 HTTP 下使用 OpenClaw Dashboard——你的 API Key 和所有操作都是明文传输的。

使用 Nginx + Let's Encrypt：

apt install nginx certbot python3-certbot-nginx -y
certbot --nginx -d your-domain.com

添加安全头

在 Nginx 配置中添加：

add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;
add_header X-XSS-Protection "1; mode=block" always;
add_header Strict-Transport-Security "max-age=31536000" always;

限制请求频率

防止暴力破解 Dashboard 密码：

limit_req_zone $binary_remote_addr zone=login:10m rate=5r/m;

location /api/auth {
    limit_req zone=login burst=3;
    proxy_pass http://localhost:3210;
}

---

防御策略四：API Key 保护

环境变量管理

不要把 API Key 写在配置文件中，使用环境变量：

export OPENAI_API_KEY=sk-xxxx

用量限额

在模型服务商后台设置月度用量上限。即使 Key 泄露，损失也可控。

定期轮换

每 1-3 个月更换一次 API Key，旧 Key 及时废弃。

---

防御策略五：入侵检测

日志监控脚本

#!/bin/bash
# 检查异常登录
echo "=== 最近失败的登录尝试 ==="
grep "Failed password" /var/log/auth.log | tail -20

echo "=== 最近成功的登录 ==="
grep "Accepted" /var/log/auth.log | tail -10

echo "=== 异常进程 ==="
ps aux | grep -E "(nc|nmap|masscan|hydra)" | grep -v grep

文件完整性检查

# 安装 AIDE
apt install aide -y
aide --init
mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db

# 定期检查
aide --check

---

防御策略六：DDoS 防护

基础防护

腾讯云 Lighthouse 自带基础 DDoS 防护，无需额外配置。

进阶方案

• 接入 Cloudflare：免费计划即可提供 DDoS 防护
• 启用腾讯云 Anti-DDoS 服务
• Nginx 层面限流：

limit_conn_zone $binary_remote_addr zone=conn:10m;
limit_conn conn 20;  # 每 IP 最多 20 个并发连接

---

安全检查清单

• 防火墙只开放必要端口
• SSH 使用密钥认证
• SSH 改为非标准端口
• fail2ban 已安装并运行
• 启用 HTTPS
• API Key 设置用量限额
• 定期检查日志
• 配置自动安全更新
• 定期快照备份

安全部署入口：腾讯云 OpenClaw 一键部署 | 部署教程：一键部署指南

---

总结

公网安全不是"做不做"的问题，而是"做多少"的问题。本文的策略从基础到进阶，覆盖了最常见的攻击场景。

最低限度：防火墙 + SSH 密钥 + HTTPS + API 限额。做到这四点，你的 OpenClaw 实例就已经比 90% 的个人部署要安全。