OpenClaw Gateway на Linux VPS в 2026: GitHub Actions CI/CD против ручного Docker-деплоя — матрица решений, воспроизводимые шаги и FAQ

Запустить OpenClaw Gateway на небольшом Linux VPS несложно, пока не появляются регулярные обновления, TLS, токены каналов и дрейф конфигурации. В 2026 году развилка выглядит не как «Docker или нет», а как выбор между воспроизводимой автоматизацией (GitHub Actions публикует образы с тегами и дайджестами, конфиги версионируются) и ручным контролем (SSH, compose-файлы, откат вручную). Оба подхода рабочие; они по-разному переносят характерные сбои. Для продакшена с HTTPS, мастером онбординга и поуровневым откатом ориентир остаётся тот же базовый runbook — см. 2026: OpenClaw Gateway в продакшене — openclaw onboard, doctor/fix, HTTPS (Nginx/Caddy) и откат на Linux VPS. Если вы сравниваете «дежурный VPS» с платформой вроде Fly.io по томам и webhook, полезна соседняя матрица: 2026: OpenClaw — Fly.io против обычного Linux VPS в облаке: постоянные тома, публичный вход HTTPS, webhook каналов и health checks.

Матрица решений: когда выигрывают Actions, когда — SSH

Используйте таблицу как чеклист: «плюс» не означает обязательность — он означает меньше сожалений, если именно этот риск выстрелит в инциденте.

Смешение GitHub Actions с корпоративными CI часто требует явной политики по тегам runner и кэшам; ориентир по параметрам shell executor и пересечению с GitHub Actions — в материале Короткий цикл CI в 2026: GitLab self-hosted macOS Runner на облачном Mac — shell executor, ключи кэша, теги и матрица смешения с GitHub Actions.

Воспроизводимые шаги (GitHub Actions → Linux VPS)

Ниже — каркас: подставьте свой реестр и пути. Цель — неизменяемый артефакт и явная фиксация версии.

1. Сборка — workflow собирает и пушит образ (тег + digest) в ваш реестр; в продакшене избегайте анонимного latest.
2. Секреты — SSH_PRIVATE_KEY, отпечаток хоста и токен деплоя храните в секретах Actions; ограничьте, кто может утверждать deploy-job.
3. Удалённое применение — job по SSH заходит на VPS, подтягивает только что собранный digest, пишет компактный env-файл вне Git и выполняет docker compose up -d (или ваш оркестратор).
4. Порог здоровья — проверьте health маршрут шлюза через loopback или reverse proxy; завалите job, если TLS или upstream-сокеты не готовы.
5. Симметрия webhook — если автоматизация из Git также триггерит нативные сборки, держите ту же дисциплину тегов, что и для self-hosted Git и облачного Mac runner в гайде Короткий цикл: self-hosted Git (Gitea/Forgejo), лёгкий VPS и посуточный cloud Mac для нативных iOS-сборок — webhook, токены и изоляция.

# На VPS после SSH:
export GATEWAY_IMAGE_DIGEST="sha256:…"
docker compose pull
docker compose up -d
curl -fsS http://127.0.0.1:<health-port>/health

Воспроизводимые шаги (ручной Docker на VPS)

Ручной деплой меняет автоматизацию на прозрачность — удобно, когда вы всё ещё разбираете поверхности: терминация TLS, пользовательские unit’ы systemd, монтирование томов.

1. Базовый хост — firewall на 22/443 по необходимости; Docker и plugin Compose; отдельный непривилегированный пользователь для выкладки.
2. Зафиксированный образ — pull явного digest; запишите его в локальный versions.txt рядом с compose.
3. Постоянные пути — смонтируйте каталоги токенов/сессий по документации upstream; перед апгрейдами снимайте снимки томов.
4. Reverse proxy — TLS через nginx или Caddy; держите Gateway на loopback, если не хотите светить порт наружу специально.
5. Дымовые проверки — после каждого bump запускайте openclaw doctor (или эквивалент); при systemd — смотрите journalctl --user.

FAQ

Заменяет ли CI/CD резервные копии?

Нет. Автоматизация перекатывает артефакты, но не воскрешает повреждённое состояние в каталогах данных. Планируйте снимки ФС или rsync-стиль для смонтированных данных.

Какой путь дешевле?

У GitHub Actions есть минуты и хранилище артефактов; у ручного деплоя цена — время инженера в инцидентах. Небольшие команды часто остаются на ручном режиме, пока частота деплоев не переваливает за «раз в неделю».

Можно ли смешивать — сборка в Actions, выкладка вручную?

Да. Образы публикует CI, а digest на VPS вы промотируете по SSH после ревью. Аудит по тегам реестра сохраняется без немедленной автоматизации удалённого compose.