2026 OpenClaw in Produktion
Sticky Traefik/HAProxy, SSH-JumpHost & gemergte Sonden

Starten Sie mit einer Gateway-VM pro Region, auf der OpenClaw ausschließlich auf dem Loopback lauscht. Setzen Sie Traefik oder HAProxy auf demselben Host (oder einem kleinen „Edge“-Geschwister) als TLS-Terminator und Sticky-Scheduler. Für SSH spiegeln Sie das Bastion-zuerst-Muster aus unserem Artikel Loopback-SSH-Tunnel-Gateway: Operatoren gehen immer über einen JumpHost und erreichen anschließend an 127.0.0.1 gebundene Admin-Sockets am Gateway. Für die Semantik des Sonden-Fan-in—wie bei MagicDNS-Deployments—übernehmen Sie die Merge-Disziplin aus OpenClaw mit Tailscale MagicDNS über mehrere Regionen: Der Transport wechselt, der JSON-Vertrag bleibt. Den öffentlichen DNS- und Latenz-Kontext gleichen Sie bei Bedarf mit Halo-Style: GeoDNS & Knoten-Matrix ab.

Minimal reproduzierbares Skelett. (1) OpenClaw mit OPENCLAW_HOME=/var/lib/openclaw/<region> installieren und HTTP auf 127.0.0.1:18080 binden. (2) Traefik-Sticky-Cookie-Middleware am Router oder HAProxy-cookie / balance source am Backend auf diesen Loopback-Port zeigen—auch mit nur einem Server hält Stickiness horizontale Skalierung später ehrlich. (3) SSH-Stanza ergänzen: Laptop → regionale Bastion → Gateway per ProxyJump. (4) Zwei Sonden-Runner pro PoP (öffentliche HTTPS-„edge“-Lane und authentifizierte „deep“-Lane) mit JSON-Zeilen; in ein Fünf-Minuten-Merge-Fenster speisen. (5) Per curl über das öffentliche VIP und über ssh -J beide Pfade verifizieren, bevor Produktivlast folgt.

Zertifikate (Edge-TLS, Origin-Vertrauen und SSH-Hostkeys)

Terminieren Sie HTTPS auf Traefik oder HAProxy mit einem öffentlichen ACME-Zertifikat (Let’s Encrypt per HTTP-01 oder DNS-01 je regionalem Namen). OpenClaw selbst bleibt auf schlichtem HTTP am Loopback: So vermeiden Sie Doppel-TLS und Zertifikatsdrift zwischen Prozess-Restarts. Wenn Compliance auch Loopback verschlüsseln will, nutzen Sie kurzlebige lokale Zertifikate Ihrer internen CA und pinnen Sie den Upstream-Client des Proxys auf genau diese Kette.

• Öffentliche Namen. Pro PoP ein Hostname (openclaw-sin.example.com), damit ein kompromittierter Schlüssel isoliert rotiert. Wildcards sind bequem, vergrößern aber die Blast-Radius-Fläche, sobald sie in eine geteilte WAF hochgeladen werden.
• Forwarded-Vertrauen. Wenn OpenClaw Client-IPs loggt, aktivieren Sie Forwarded-Header in Traefik oder senden Sie HAProxy PROXY protocol v2 an einen zweiten lokalen Listener, der es versteht—X-Forwarded-For vom offenen Internet niemals blind vertrauen, ohne am Edge zu strippen.
• SSH-Hostkeys. Bastion- und Gateway-Keys per Konfigurationsmanagement in known_hosts vorladen, damit ProxyJump-Ketten keine „yes“-Gewohnheit bei jedem Rebuild trainieren. Keys mit veröffentlichtem Fenster rotieren; veraltete Automation ist der Grund, warum Merge-Worker SSH-„Last-resort“-Checks verlieren.

Timeouts (Client, Proxy, Upstream und SSH-Keepalives)

Sticky Sessions verstärken Timeout-Mismatches: Wenn der Browser glaubt, die Anfrage sei tot, der Proxy aber noch zu OpenClaw puffert, wiederholen Nutzer:innen und erzeugen doppelte Nebenwirkungen. Setzen Sie die Server-Timeouts des Proxys knapp über dem schlimmsten Handler-Budget von OpenClaw, aber unter der sichtbaren Client-Frist.

• Traefik. transport.respondingTimeouts (read/write/idle) am Entrypoint und pro Service ein Dial-Timeout zum Loopback-Upstream feinjustieren. HTTP-Keep-Alive zwischen Proxy und OpenClaw aktivieren, damit Sticky-Verbindungen TCP wiederverwenden.
• HAProxy. timeout client, timeout server und timeout tunnel an SSE- oder Long-Polling-Realität koppeln. Für klassisches REST bleibt timeout http-request aggressiv genug gegen Slowloris, aber nicht so eng, dass kalte JVM- oder Modell-Loads beim Deploy scheitern.
• SSH-Kette. ServerAliveInterval und ServerAliveCountMax am Bastion-Hop setzen, damit idle Merge-Skripte oder Port-Forwards NAT überleben. TCPKeepAlive in sshd_config mit sinnvollen sysctl-Werten auf jedem vpshalo-Knoten abstimmen.

# ~/.ssh/config — Laptop → Bastion → Gateway (Hosts ersetzen)
Host oc-bastion-sin
  HostName bastion.sin.example.com
  User jump

Host oc-gateway-sin
  HostName 10.x.y.z
  User admin
  ProxyJump oc-bastion-sin
  LocalForward 18080 127.0.0.1:18080

Upstream-Health-Checks (isolierte Pfade, rise/fall, gemergte Fehlerzusammenfassung)

Health-Checks dürfen nicht denselben Cookie-Namensraum wie Kundenverkehr teilen. Stellen Sie /healthz (anonym, schnell) und /ready (Auth optional, Dependencies mit an) auf OpenClaw bereit; Traefik-HealthCheck oder HAProxy-option httpchk nur auf /healthz zeigen. Rise/Fall unabhängig wählen: drei aufeinanderfolgende Fehler vor Drain, zwei Erfolge vor Wiederverwendung ist auf transozeanischen Links ein gängiger Startwert.

• Strukturierte Ausgabe. Jede Sonde schreibt pro Versuch eine JSON-Zeile mit region, lane (edge vs. deep), http_status und rtt_ms. stdout in den Collector; Rohlogs nie per E-Mail.
• Merge-Fenster. Ereignisse innerhalb von 300 Sekunden pro Region kollabieren. Ein Lane-A-Fehler in einer Region öffnet ein regionales Inzident; „global“ eskalieren, wenn zwei Regionen dieselbe Lane im selben Fenster verlieren—dieselbe Moral wie im Tailscale-Playbook, ohne Tailnet-Pflicht.
• Alarm-Hygiene. Die letzte erfolgreiche Build-ID kollokierter Remote-Mac-Builder anhängen, damit CI-Triage sieht, ob Gateway oder Farm zuerst regredierte.

OpenClaw-Bind-Strategie (Loopback, Homes und horizontale Skala)

Binden Sie OpenClaw-HTTP an 127.0.0.1, bis ein reviewed Change Metriken bewusst woanders exponiert. OPENCLAW_HOME bleibt pro PoP eindeutig; Live-State-Verzeichnisse niemals per rsync zwischen Regionen mischen. Wenn ein zweiter OpenClaw-Prozess hinter demselben VIP dazukommt, setzen Sie identische Server in HAProxy mit derselben Cookie-Insert-Regel oder Traefik-weighted Services unter derselben Sticky-Middleware—Clients behalten Affinität, während Sie Gewichte schrittweise drainen.

• Umgebungs-Isolation. systemd Environment=OPENCLAW_HOME=… plus AmbientCapabilities aus und NoNewPrivileges=yes, wo unterstützt.
• Secrets. API-Schlüssel read-only aus tmpfs oder Vault-Sidecar-Pfad mounten, der in jedem regionalen Home referenziert wird.
• Kapazitätsplanung. Gateway-Regionen dort platzieren, wo Ihr Team SSH- und Artefakt-Latenz real misst; Remote-Mac-Builder im selben vpshalo-PoP mieten, damit Steuer- und Compile-Verkehr dieselbe Geographie teilen.

Zusammenfassung und Kaufhinweis. Zertifikate gehören an den Proxy, Timeouts müssen über alle Hops passen, Upstream-Checks brauchen eigene URLs plus Merge-Logik, OpenClaw bleibt am Loopback mit einem Home pro Region. Ist der Stack stabil, kaufen Sie Kapazität dort, wo Ihre Sonden bereits grün sind: Im Technologie-Blog finden Sie verwandte OpenClaw-Runbooks; über die Schaltflächen unten vergleichen Sie Preise und buchen Sie Remote-Mac-Knoten in denselben Regionen wie Ihre Gateways.