本文檔詳細(xì)介紹了如何在輕量應(yīng)用服務(wù)器LS上配置使用開(kāi)源AI助手的安全提示，提示內(nèi)容主要包括：

• 輕量服務(wù)器基線安全，主要包括SSH服務(wù)訪問(wèn)控制與認(rèn)證等
• OpenClaw使用安全， 主要包括認(rèn)證、服務(wù)開(kāi)放、數(shù)據(jù)安全等方面的建議

特別提醒：OpenClaw屬于私人智能助手，建議獨(dú)自使用，或分享給內(nèi)部團(tuán)隊(duì)使用，分享給不信任的個(gè)人或團(tuán)體可能會(huì)帶來(lái)不必要的經(jīng)濟(jì)損失與數(shù)據(jù)泄漏風(fēng)險(xiǎn)

OpenClaw部署的云主機(jī)基線安全

1、盡量使用云平臺(tái)登錄，避免使用遠(yuǎn)程登錄，并且關(guān)閉遠(yuǎn)程22端口

在實(shí)例的【防火墻】設(shè)置22端口的訪問(wèn)源為 100.64.0.0/10，便只允許云平臺(tái)的SmartTerm或者VNC登錄

使用SmartTerm登錄，選擇內(nèi)網(wǎng)連接

2、使用強(qiáng)密碼（如15位以上，字母、數(shù)字、其他字符組合的密碼），或者證書登錄

使用證書登錄設(shè)置方法

• 步驟一：生成證書，默認(rèn)生成在 /root/.ssh/ 目錄下，私鑰 id_rsa，公鑰 id_rsa.pub

root@ls-KCH9cIEY:~# ssh-keygen -t rsa -b 4096
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa): 
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /root/.ssh/id_rsa
Your public key has been saved in /root/.ssh/id_rsa.pub
The key fingerprint is:
SHA256:J1qnpRl/5w53EJooGz93mGG7uCTO2ohFko2Z4JvqwN0 root@ls-KCH9cIEY
The key's randomart image is:
+---[RSA 4096]----+
|                 |
|                 |
|  .           .  |
| . . *     . o . |
|  . * o S = = .  |
|. .o.o o / . = . |
|..o. Eo * = B + .|
|..   o = o = B . |
|o.  . o.+ o...o  |
+----[SHA256]-----+

• 步驟二：配置公鑰，將 id_rsa.pub 添加到 authorized_keys 中

cat /root/.ssh/id_rsa.pub >> /root/.ssh/authorized_keys

• 步驟三：使用私鑰遠(yuǎn)程登錄

# 將上述生成的id_rsa放到本地 .ssh/id_rsa 并配置權(quán)限為 600(chmod 600 .ssh/id_rsa)
ssh root@x.x.x.x
或者
ssh -i .ssh/id_rsa root@x.x.x.x

也可以使用SmartTerm通過(guò)私鑰登錄，將上面生成的 id_rsa 的內(nèi)容復(fù)制到密鑰框

• 步驟四：關(guān)閉密碼登錄

sudo vim /etc/ssh/sshd_config
PasswordAuthentication no

• 步驟五：重啟 ssh 服務(wù)

service ssh restart

OpenClaw使用安全建議

1、OpenClaw Gateway認(rèn)證token：建議使用默認(rèn)生成的、不要自行修改避免弱口令風(fēng)險(xiǎn)

2、OpenClaw Gateway端口：非必要不通過(guò)公網(wǎng)EIP暴露，如果對(duì)外暴露，建議在防火墻上設(shè)置訪問(wèn)源IP白名單，同時(shí)務(wù)必管理好自己的token、避免泄露

• 步驟一：找到輕量服務(wù)器的防火墻配置

• 步驟二：維護(hù)規(guī)則列表，新建或者編輯現(xiàn)有規(guī)則

• 步驟三：設(shè)置訪問(wèn)源IP白名單，將您的訪問(wèn)源IP填寫到【來(lái)源】選項(xiàng)中

3、OpenClaw對(duì)接IM（釘釘、飛書等等）的bot：建議只自己訪問(wèn)、或授權(quán)給可信的團(tuán)隊(duì)內(nèi)人員訪問(wèn)

4、OpenClaw安裝Skills：請(qǐng)謹(jǐn)慎安裝、使用外部社區(qū)/個(gè)人發(fā)布的Skills，以預(yù)防信息泄露或服務(wù)器被攻擊等風(fēng)險(xiǎn)

5.部署OpenClaw所在的云主機(jī)（輕量應(yīng)用服務(wù)器）：建議僅用于OpenClaw服務(wù)運(yùn)行，不在其上留存OpenClaw必要配置之外的任何數(shù)據(jù)/文件

6、安全防護(hù)能力：建議開(kāi)啟云安全中心標(biāo)準(zhǔn)版或以上的防護(hù)版本，具備云主機(jī)環(huán)境后門、病毒查殺等基礎(chǔ)安全防護(hù)能力

• 步驟一：購(gòu)買標(biāo)準(zhǔn)版及以上版本

• 步驟二：到云安全中心的客戶端安裝選項(xiàng)下，復(fù)制客戶端安裝命令，然后到輕量服務(wù)器上運(yùn)行安裝命令

最新評(píng)論