⚠️ 血泪教训：2GB内存下，绝对不要尝试本地build镜像！Node.js编译会直接OOM崩溃。只拉预构建镜像，这是铁律。

# 连接群晖终端

ssh admin@你的群晖IP

# 输入密码后，切换root权限

sudo -i

docker.1ms.run

ghcr.nodeseek.com

# 编辑Docker配置文件

sudo vi /var/packages/Container\ Manager/etc/dockerd.json

{

  “registry-mirrors”: [

    “https://docker.1ms.run”,

    “https://ghcr.nodeseek.com”

  ]

}

sudo mkdir -p /volume1/docker/openclaw

sudo chown -R 1000:1000 /volume1/docker/openclaw

sudo chmod -R 777 /volume1/docker/openclaw

💡 容器内用node用户运行，UID=1000。chown 1000:1000 确保容器有读写权限。chmod 777 是偷懒写法，生产环境建议用755。

⚠️ 容器路径必须带小数点（.openclaw是隐藏目录），写错的话容器会重新初始化一个空配置！

sudo docker run -d \

  –name openclaw \

  –restart unless-stopped \

  –net=host \

  -v /volume1/docker/openclaw:/home/node/.openclaw \

  docker.1ms.run/1panel/openclaw:latest \

  openclaw gateway –port 18789 –bind 0.0.0.0 –allow-unconfigured

💡 OPENAI_BASE_URL 和 OPENAI_API_KEY 不需要在这里配置，后面通过容器内 openclaw configure 交互式配置更方便。

openclaw gateway –port 18789 –bind 0.0.0.0 –allow-unconfigured

# 查看容器运行状态

sudo docker ps -a | grep openclaw

# 查看日志，确认启动成功

sudo docker logs openclaw –tail 50

✓ Gateway is running on port 18789
✓ Dashboard available at http://127.0.0.1:18789

docker exec -it openclaw sh

openclaw configure

◆ Where will the Gateway run?

│ Local (this machine)

◆ What do you want to configure?

│ Model

◆ Model/auth provider

│ DeepSeek

◆ Enter DeepSeek API key

│ ▪▪▪▪▪▪▪▪▪▪▪▪▪▪▪▪▪▪▪▪▪▪▪▪▪▪▪▪▪▪▪▪▪▪▪

◆ Model configured

│ Default model set to deepseek/deepseek-v4-flash

│ Updated config: ~/.openclaw/openclaw.json

💡 选择 DeepSeek 后输入你的 API Key 即可，不需要手动编辑配置文件。模型选择可以根据需要切换，推荐 deepseek-v4-flash（性价比最高）或 deepseek-chat。

# 绑定所有网络接口（允许外网访问）

openclaw config set gateway.bind 0.0.0.0

# 关闭设备配对校验（方便多端访问）

openclaw config set gateway_controlUi_disableDevicePairing true

# 允许非安全连接（Tailscale用HTTPS但无证书）

openclaw config set gateway_controlUi_allowInsecureAuth true

# 关闭网关鉴权（简化访问，内网环境可接受）

openclaw config set gateway.auth none

# 重启网关使配置生效

openclaw gateway restart

# 查看待授权设备列表

openclaw devices list

# 批准设备访问（替换为实际设备编号）

openclaw devices approve 设备编号

💡 如果不想每次都授权，上面已经设置了 disableDevicePairing=true，可以跳过此步。

curl https://api.deepseek.com/v1/chat/completions \

  -H “Authorization: Bearer 你的sk密钥” \

  -H “Content-Type: application/json” \

  -d ‘{

    “model”: “deepseek-chat”,

    “messages”: [{“role”: “user”, “content”: “你好”}]

  }’

docker exec -it openclaw sh

openclaw chat “你好”

openclaw configure

docker run -d \

  –name tailscale \

  –restart unless-stopped \

  –net=host \

  –cap-add=NET_ADMIN \

  -v /volume1/docker/tailscale:/var/lib/tailscale \

  tailscale/tailscale

tailscale up

# 会输出一个登录链接，浏览器打开登录Tailscale账号

# 将本地18789端口映射到Tailscale域名的8443端口

# ⚠️ 默认443端口可能与群晖其他服务冲突，建议用8443

tailscale serve –bg –https=8443 http://127.0.0.1:18789

⚠️ 如果手机开了代理（梯子），需要先关闭代理再访问Tailscale地址，否则流量走了代理会绕路。

# 在容器终端执行

openclaw channels login –channel feishu

# 终端会显示二维码，用飞书App扫码授权

# 授权完成后重启网关

openclaw gateway restart

# 验证连接

openclaw channels test feishu

“channels”: {

  “feishu”: {

    “enabled”: true,

    “domain”: “feishu”,

    “connectionMode”: “websocket”,

    “dmPolicy”: “pairing”,

    “groupPolicy”: “allowlist”,

    “accounts”: {

      “default”: {

        “appId”: “cli_xxx替换为你的App ID“,

        “appSecret”: “xxx替换为你的App Secret“

      }

    }

  }

}

💡 dmPolicy: "pairing" 表示未知用户发消息会收到配对码，需要你在OpenClaw端审批。安全又方便。

openclaw gateway restart

openclaw channels test feishu

# 进入容器终端

docker exec -it openclaw sh

# 安装微信插件

openclaw plugins install “@tencent-weixin/openclaw-weixin”

# 启用插件

openclaw config set plugins.entries.openclaw-weixin.enabled true

# 重启网关

openclaw gateway restart

openclaw channels login –channel openclaw-weixin

# 启用每日新闻摘要

openclaw config set jobs.daily-news-digest.enabled true

# 设置推送渠道为微信

openclaw config set jobs.daily-news-digest.delivery.channel openclaw-weixin

# 重启生效

openclaw gateway restart

坑1：权限报错 EPERM / EACCES: permission denied

原因：目录权限没设置对，容器内的node用户（UID=1000）没权限读写。

解决：重新设置权限——

sudo chown -R 1000:1000 /volume1/docker/openclaw
sudo chmod -R 777 /volume1/docker/openclaw
sudo docker restart openclaw

坑2：镜像拉取超时/失败

原因：国内网络访问Docker Hub和ghcr.io困难。

解决：用加速源，或者先在电脑上下载再导入——

# 电脑上执行
docker pull docker.1ms.run/1panel/openclaw:latest
docker save docker.1ms.run/1panel/openclaw:latest -o openclaw.tar

# 上传到NAS
scp openclaw.tar admin@群晖IP:/volume1/docker/openclaw/

# NAS上导入
sudo docker load -i /volume1/docker/openclaw/openclaw.tar

坑3：内存不足OOM（进程被Killed）

原因：2GB内存不够用，或者本地build触发OOM。

解决：①只拉预构建镜像，不要本地build；②限制容器内存——

docker run -d –memory=1g –memory-swap=1.5g …

③终极方案：加内存，一步到位。

坑4：改了Bind Mode忘了改成0.0.0.0

原因：默认只绑定localhost，局域网其他设备访问不了。

解决：openclaw config set gateway.bind 0.0.0.0，或者配置文件中 "bind": "0.0.0.0"。这个坑我自己踩过，查了半天才找到原因……

坑5：飞书Bot收不到消息

原因：可能是以下几个——

① 应用未发布审批；② 事件订阅未选「长连接」；③ 缺少 im.message.receive_v1 事件。

排查命令：openclaw logs --follow 看实时日志。

坑6：手机无法连接Tailscale地址

原因：手机开了代理（梯子），流量走了代理绕路。

解决：关闭手机代理后再访问Tailscale地址。

坑7：反复弹出设备验证

原因：设备配对校验默认开启。

解决：openclaw config set gateway_controlUi_disableDevicePairing true

坑8：模型调用失败

原因：API Key未配置或配置不一致。

解决：进入容器终端重新执行 openclaw configure，选择 Model → DeepSeek，输入API Key即可。不需要手动编辑配置文件。