2026 OpenClaw Gateway 生产化：`openclaw onboard` 向导要点、`openclaw doctor`/`openclaw fix` 排障、Nginx/Caddy HTTPS 反代与升级回滚（Linux 云主机可复现步骤与 FAQ）

把 OpenClaw Gateway 放到 Linux 云主机上对外服务，关键不是「装完能 ping 通」，而是用 openclaw onboard 把最小闭环一次跑通，再用 openclaw doctor / openclaw fix 固化检查与常见自愈，最后用 Nginx 或 Caddy 把 TLS、超时与 WebSocket 行为收敛到可控边界，并为二进制与配置准备可回滚路径。下文按同一顺序给出可复现要点。若你同时维护 macOS 侧的 Agent 与 launchd 常驻，可把本流程与 云 Mac 上的环境校验与排障 FAQ对照阅读。

`openclaw onboard` 向导要点

向导的价值是把「该问的问题」一次性问完：安装前缀、运行用户、监听地址（建议 Gateway 只绑 127.0.0.1，由反代对外）、令牌或鉴权占位、以及 systemd 单元样例。生产化时务必显式写出数据目录与日志路径，避免升级后工作目录漂移；若团队还要暴露 MCP，可把网关与 MCP Server 工作流里的令牌与白名单放在同一套密钥轮换节奏里。

`openclaw doctor` 与 `openclaw fix`

doctor 适合作为上线前与定时巡检入口：核对版本、依赖、监听端口、证书链可读性、上游连通与磁盘权限。fix 则处理一类「已知可脚本化」的偏差，例如修复目录属主、补齐缺失的示例配置、重置损坏的本地缓存。二者应写进 systemd timer 或 CI 里的只读检查 Job，输出保留在 journalctl 便于对照发版窗口。

Nginx / Caddy HTTPS 反代要点

反代层负责证书续期、HTTP/2、gzip 与长连接超时；若客户端会复用 WebSocket，记得把 Upgrade / Connection 头透传，并把 proxy_read_timeout（Nginx）或等价指令调到高于会话心跳。Caddy 自动 ACME 适合单机快速上线；Nginx 适合已有证书中心或需要复杂 location 矩阵的团队。

# 仅示意：把 TLS 终止在 Nginx，上游为本机 Gateway
location / {
  proxy_pass http://127.0.0.1:8080;
  proxy_set_header Host $host;
  proxy_set_header X-Forwarded-Proto $scheme;
  proxy_http_version 1.1;
  proxy_set_header Upgrade $http_upgrade;
  proxy_set_header Connection "upgrade";
}

升级与回滚（Linux 云主机）

升级前冻结三件事：当前二进制哈希、配置目录快照、以及 openclaw doctor 基线输出。滚动步骤建议为「下载新版本到并行路径 → doctor → 切换 systemd ExecStart 指向新二进制 → reload → 观察 15 分钟」。回滚即指回旧二进制并恢复配置快照；若使用容器镜像，则保留上一标签并在编排里双写健康检查。

FAQ