27 万只龙虾在裸奔：OpenClaw 安全加固实操指南（附防火墙命令和配置）

2026 年 3 月初，安全研究人员扫描全网后公布了一个数据：超过 27 万个 OpenClaw 实例直接暴露在公共互联网上，没有任何访问控制。工信部随后发出安全通报，各网络安全社区称之为"裸奔龙虾"事件。

这篇文章不说废话，直接给你每一条要执行的命令和要改的配置。全部做完大概 15 分钟。

你的龙虾在裸奔吗？先做个自检

在你的服务器上执行：

# 检查 OpenClaw 端口是否对外开放（默认端口 3000）
sudo ss -tlnp | grep 3000

如果输出里有 0.0.0.0:3000 或 :::3000，说明你的龙虾正在裸奔——任何知道你 IP 的人都能访问。

再检查一下有没有设访问密码：

grep -i "auth" ~/.openclaw/config.yaml

如果没有输出，或者看到 auth: ""，那连密码都没设。该紧张了。

加固步骤一：防火墙封端口

用 UFW（Ubuntu/Debian 推荐）

# 确保 UFW 安装并启用
sudo apt install ufw -y
sudo ufw enable

# 只允许 SSH 访问
sudo ufw allow 22/tcp

# 禁止 OpenClaw 端口对外开放
sudo ufw deny 3000/tcp

# 如果你需要从特定 IP 访问 OpenClaw（比如你家的 IP）
sudo ufw allow from 你的IP地址 to any port 3000

# 确认规则
sudo ufw status verbose

用 iptables（CentOS/其他发行版）

# 只允许本地访问 OpenClaw 端口
sudo iptables -A INPUT -p tcp --dport 3000 -s 127.0.0.1 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 3000 -j DROP

# 保存规则（CentOS）
sudo service iptables save

# 或者用 iptables-persistent（Ubuntu）
sudo apt install iptables-persistent -y
sudo netfilter-persistent save

那我怎么远程访问？通过 SSH 隧道：

# 在你的本地电脑上执行
ssh -L 3000:localhost:3000 user@你的服务器IP

# 然后在本地浏览器打开 http://localhost:3000 就能安全访问

加固步骤二：config.yaml 安全配置

打开 ~/.openclaw/config.yaml，添加或修改以下配置：

# === 安全配置 ===

# 1. 访问密码（必须设置）
auth:
  password: "你的强密码（建议16位以上，含大小写+数字+特殊字符）"

# 2. 绑定到本地，拒绝公网直连
server:
  host: "127.0.0.1"      # 不要用 0.0.0.0
  port: 3000

# 3. 命令执行黑名单
security:
  command_blacklist:
    - "rm -rf /"
    - "rm -rf ~"
    - "rm -rf /*"
    - "mkfs"
    - "dd if="
    - "> /dev/sda"
    - "chmod 777"
    - "curl * | bash"     # 防止下载执行恶意脚本

  # 4. 禁止访问的路径
  path_blacklist:
    - "~/.ssh/"
    - "~/.env"
    - "~/.openclaw/config.yaml"    # 防止 AI 读取自己的配置（含 API Key）
    - "/etc/shadow"
    - "/etc/passwd"

  # 5. Token 消耗限额（防止被恶意利用后的损失控制）
  daily_token_limit: 1000000
  per_task_token_limit: 200000

加固步骤三：API Key 权限隔离

这一步非常关键但很多人忽略：不要用你主账号的 API Key。

OpenAI 操作步骤

1. 登录 platform.openai.com
2. 点击 API Keys → Create new secret key
3. 给 Key 取一个名字，比如 openclaw-dedicated
4. 最关键的一步——设置消费限额：
   • 进入 Settings → Billing → Usage limits
   • 设置 Hard limit（比如 $50/月），超了就自动停用

Anthropic 操作步骤

1. 登录 console.anthropic.com
2. 在 API Keys 页面创建一个新 Key
3. 在 Plans & Billing 里设置消费上限

这样即使 Key 泄露了，最多被刷到限额就自动停了，损失可控。

⚠️ 特别提醒：绝对不要使用来路不明的"共享 API Key"。在 OpenClaw 场景下，你的所有操作指令（含文件内容、代码片段、邮件正文）都通过 Key 发送给 AI 服务器。共享 Key = 你的数据经过别人的中转。正版独享 AI 订阅在这里购买。

加固步骤四：开启日志审计

# config.yaml 中添加
logging:
  level: "info"
  file: "~/.openclaw/logs/audit.log"
  max_size: "50MB"
  rotation: 7    # 保留7天日志

  # 记录所有执行过的命令
  log_commands: true
  # 记录所有文件访问
  log_file_access: true

每周花 5 分钟扫一遍日志：

# 查看最近的异常操作
grep -i "error|denied|forbidden|unauthorized" ~/.openclaw/logs/audit.log | tail -20

# 查看执行过的所有命令
grep "command_executed" ~/.openclaw/logs/audit.log | tail -50

15 分钟加固清单

做完这 7 步，你的龙虾就从裸奔变成了全副武装。别让你的成为第 270001 只裸奔龙虾。