OpenClaw Webhook 2026 | Cloudflare Tunnel、Tailscale Funnel、Linux VPS TLS

通道助理要穩，前提是對外回呼能以可信 TLS、固定路徑打到 OpenClaw 閘道，且綁定策略別放大暴露面。許多 VPS 採動態出站：來源 IPv4 會變，上游 REST 只靠白名單時，Webhook 路徑仍正常也可能隔夜失效。本文對照 Cloudflare Tunnel、Tailscale Funnel、Linux 雲端 VPS 公網反向代理，並對齊閘道連接埠綁定與 L0–L3 工單用語。輕量 VPS 控制面與 burst 雲端 Mac 的拆法可一併參考 2026年短週期自託管 Git（Gitea／Forgejo）配輕量 VPS 控制面與按天雲 Mac 原生 iOS 建置執行面：Webhook 觸發、最小權限令牌與企業資源池隔離決策矩陣 FAQ。

443

多數廠商預期 HTTPS 回呼

127.0.0.1

邊緣後方建議的閘道綁定位址

L0–L3

分層排障與支援對齊

回呼是入站，動態出口是出站

兩者混談會白燒工時：Slack、Telegram、Discord 會對你的 HTTPS URL 送 POST，依賴 DNS、憑證、反代標頭與閘道綁定位址。閘道出站呼叫廠商 API 時，對方可能看來源 IP；供應商輪替出站時，請押在 OAuth 重新導向 URI、Webhook 密鑰與簽章，而非單一 VPS IPv4（除非買固定出站）。TLS 終止與反代 upstream 寫法可沿用 2026 OpenClaw Linux 雲 VPS 對接內網或本機 Ollama：Gateway 上游、TLS 拆分、SSH 隧道與 NO_PROXY 矩陣——可復現步驟與 502／逾時分層排障 FAQ。

決策矩陣：Tunnel、Funnel、VPS 反代

依「誰必須連到 listener」「TLS 控制權」「是否已有硬化 VPS」三軸選型。

面向	Cloudflare Tunnel	Tailscale Funnel	Linux VPS ＋ Nginx／Caddy
回呼可達性	佳；Cloudflare 邊緣上的公開主機名	在支援區域／帳戶規則下佳；先查政策	443 可達即佳；DNS 與防火牆自管
TLS 終止	多在邊緣（Universal SSL），源站走隧道	tailnet 主機名路徑上類 Let’s Encrypt	機上 ACME（HTTP-01／DNS-01）或外層 LB
閘道綁定	`127.0.0.1:PORT` ＋隧道入站規則	本機服務＋ funnel 對應	反代後方 `127.0.0.1`，或管理／公開 listener 分離
動態出口影響	本身不解決上游 IP 白名單	類似；身分在 tailnet，非任意出站 IP	供應商仍可能輪替出站；請記錄實際區段
維運取捨	多一個 daemon 與 Cloudflare 帳面	家實驗室簡潔；企業政策可能禁用	控制最大；OpenSSL／Nginx 自行修補

先綁回環

只要公開邊緣是隧道、Funnel 或反代，OpenClaw 閘道盡量綁在 127.0.0.1，保留單一 choke point 做限速、Request ID，以及日後可加上的 mTLS。

TLS、主機名與廠商 403

多數 Webhook 會驗 SNI、主機名與路徑。TLS 只終止一次——在邊緣或 VPS 擇一——避免未理解延遲成本就層層加密。憑證輪替時重載反代，盡量不中斷上游 keep-alive，以免廠商重試撞到裸 TCP reset。雙 NAT、CGNAT 下純埠轉發常靜默失敗；若「手機 LTE 可、廠商伺服器不可」，先懷疑髮夾 NAT 或 IPv6 缺失，而非先怪閘道行程。

最小公開探測（替換主機／路徑）

curl -svo /dev/null --resolve public.example.com:443:203.0.113.10 https://public.example.com/openclaw/webhook \
# 先確認 TLS 與路由，再查閘道行程

動態出口與白名單

收集廠商後台觀察到的來源 IP，與主機上多次執行的 curl ifconfig.me 對照；必要時改 OAuth 客戶端憑證或改以隧道入站取代「猜 IPv4」。

分層排障 FAQ（可復現）

值班與工單沿用同一套 L0–L3 詞彙，換通道也不必重學敘事。

L0 —「SYN 沒進來」

從外網主機對公開 URL 跑 curl -sv。若 TCP 無法完成，先修 DNS、隧道狀態、安全群組或 ufw／nftables，再開閘道日誌。

L1 —「TLS 成功，HTTP 404／502」

並排看反代 access 與 upstream。錯的 Host、指錯 127.0.0.1 埠，或憑證更新後未 reload，多在這層而非權杖邏輯。

L2 —「curl 200，廠商仍重試」

看負載下回應時間、簽章標頭與時鐘偏移；部分供應商要求數百毫秒內 JSON ack，VPS 磁碟慢會像「送達不穩」。

L3 —「依賴出站的整合隔夜壞了」

對照廠商儀表板來源 IP 與主機出站變化，把白名單遷到可維護的身分模型，或固定出站方案。

漸進暴露

先回環綁定＋隧道或 SSH 管理路徑；有具體通道需求再加公開 HTTPS；手冊裡留一條 break-glass 隧道指令。