2026 OpenClaw sur nœuds vpshalo multirégion
MagicDNS, passerelle stable & fusion des sondes

Échec classique : OPENCLAW_HOME partagé, sondes en rafale, ACL trop large. Public : ingénieurs réseau et passerelle avec Tailscale opérationnel qui doivent livrer une coupure reproductible sans casser l’astreinte. PoP et SSH : voir la matrice d’entrée globale 2026. Capacité : page tarifs pour colocaliser passerelle et builders dans la même enveloppe RTT que vos mesures mtr et vos sondes applicatives.

Friction 1 : état POSIX unique entre régions. Friction 2 : vanity DNS qui masque le PoP. Friction 3 : sondes qui imitent le trafic client et déclenchent des faux positifs TLS.

Matrice décisionnelle (réseau / passerelle)

Quand le tailnet est déjà en production, priorisez l’ordre suivant : d’abord l’intégrité d’état, puis la résolution de noms, enfin l’observabilité — sinon les alertes masquent les régressions réelles.

Isolation OPENCLAW_HOME par région

OPENCLAW_HOME = racine d’état (secrets, cache, journaux crash-safe). Un montage unique multi-région crée des incidents de cohérence à chaque partition réseau ; les équipes OpenClaw le ressentent d’abord comme corruption de file d’attente ou de jetons, pas comme simple timeout SSH.

• Étape 1. Par hôte vpshalo : OPENCLAW_HOME=/var/lib/openclaw/<region> aligné inventaire (jp-tyo, sg-sin…). Jamais deux passerelles actives sur le même chemin.
• Étape 2. systemd : Environment=OPENCLAW_HOME=…, StateDirectory ou ReadWritePaths. Mac distant réplica : plist launchd avec chemins absolus.
• Étape 3. Secrets en coffre ou sops, référencés par chemin régional — pas de rsync de clés entre PoP. Config commune : YAML Git rendu au boot.
• Étape 4. Snapshot avant ACL ou routeur subnet ; restauration sous perte de paquets.

Enregistrements MagicDNS et ACL

Tailscale MagicDNS stabilise le hostname passerelle après refresh bare metal sans retoucher les clients : une machine tailnet par région, ACL qui séparent opérateurs et sondes. Les noms *.ts.net deviennent votre contrat interne aussi stable qu’un enregistrement DNS interne classique, avec la mobilité du maillage.

• Étape 1. Tailscale sur le nœud vpshalo OpenClaw ; nom explicite openclaw-gw-sin ; MagicDNS actif → *.ts.net résolu sans hacks.
• Étape 2. Résolveur d’entreprise : forward uniquement *.ts.net vers Tailscale.
• Étape 3. tag:openclaw-operators (SSH/HTTPS admin) ; tag:openclaw-probes (chemin HTTP minimal). Défaut deny inter-régions sauf besoin.
• Étape 4. Configs applicatives sur URL régionale https://openclaw-gw-sin…/v1, pas vanity globale.

dig +short openclaw-gw-sin.<tailnet>.ts.net
curl -fsS --max-time 3 "https://openclaw-gw-sin.<tailnet>.ts.net/healthz"

Subnet router : CIDR des écouteurs seulement. Builders Mac distant sur VLAN dédiés : préfixes explicites, pas capture site entier.

Fusion des sondes et repli d’alerte

Sans couche de fusion, les sondes de santé se multiplient et créent des oscillations TLS corrélées avec le trafic réel : la passerelle semble « malade » alors qu’elle est saturée par vos propres contrôles. D’où la séparation stricte des voies et l’agrégation temporelle avant toute page.

• Étape 1. Voies A (HTTPS léger bord-passerelle), B (profonde, auth), C (mesh ping). Max deux origines indépendantes pour B par PoP.
• Étape 2. JSON sonde : region, lane, rtt_ms, error_class. Worker agrège cinq minutes par région.
• Étape 3. Incident simple si voie A tombe sur un PoP ; label multirégion seulement si deux PoP même voie même fenêtre. Attacher dernier build OK du pool Mac distant.
• Étape 4. Repli pages : ×2, ×4, ×8 entre notifications sauf ack ou mode read-only superviseur. Reset après dix succès.

Fenêtre de changement

Traiter comme migration DB : ordre fixe, rollback documenté.

• J − 7 : ticket avec diff MagicDNS/ACL ; matrices tailscale ping inter-PoP vpshalo.
• J − 1 : TTL DNS public si clients hors tailnet ; runbooks aide.
• J 0 : ACL → passerelles → sondes. Budgets erreur HTTP avant nouvelles sondes profondes.
• J + 1 h : si médiane RTT > +20 % vs matrice, rollback ACL avant toute mutation OPENCLAW_HOME.

Service nœuds faible latence : runners et passerelles dans le métro validé GeoDNS — MagicDNS près des charges.

Quatre blocs maîtrisés = moins d’état fantôme, plus de débit sur Mac distant. Maillage stable : scalez les PoP déjà verts côté sondes — puis commandez la capacité alignée.