Einstieg über die Startseite; Frankfurt-Kontext Deutschland-Node (Frankfurt); vertiefend EU-Egress-Whitelist und Log-Redaktion, Loopback und SSH LocalForward sowie AWS eu-central-1 OpenClaw-Matrix. Skripte vor Produktions-Release einfrieren.
- 1. Offene DM-Kanäle ohne Pairing — jeder Handle kann den Agenten triggern.
- 2. Allowlist und
config validateleben in getrennten Tickets; ein Release öffnet US-CDN-Hosts. - 3. Logs enthalten Pairing-Codes oder Tokens, obwohl Egress bereits default-deny ist.
Datenresidenz und EU-Egress-Strategie am Deutschland-Node
Der physische Mac mini M4 am deutschen PoP ist Mess- und Laufzeitanker: Konfiguration und JSONL-Logs bleiben auf dem Host, während Ausgang über Firmen-Firewall oder Forward-Proxy default-deny bleibt. Residenz ersetzt keine AVV — sie vereinfacht aber Incident-Response und Abnahme gegenüber Security.
| Hebel | DE-Node (Frankfurt) | Nur APAC-Laptop |
|---|---|---|
| EU-API-p95 | Stabil, EU-Resolver | Verzerrt durch Pazifik-Routing |
| Config-/Log-Pfad | Ein Host, ein Snapshot | Drift zwischen Entwicklern |
| OpenClaw-Gates | validate + doctor am Ziel-Host | „Grün lokal“, rot in EU |
| Subprocessor-Story | DE-Adresse in Beschaffung | Mehrere Kontinente |
DM-Pairing-Policy und Allowlist — Konfigurationsfragmente
Pairing verhindert, dass unbekannte Absender den Gateway-Agenten erreichen. Pinnen Sie dieselbe openclaw-Version wie in CI; ändern Sie nur Staging, bis openclaw config validate grün ist.
"channels": { "telegram": { "dmPolicy": "pairing", "allowFrom": ["@approved-bot", "123456789"] } }
"egress": { "mode": "allowlist", "hosts": ["api.openai.com", "registry.npmjs.org", "*.europe-west3.gcr.io"] }
Ergänzen Sie Provider-Hosts aus Release Notes — nicht aus Bauchgefühl. Nach jeder Allowlist-Erweiterung: openclaw doctor --non-interactive und Smoke-Test aus EU-Netz.
Log-Feld-Redaktion (Pairing-Codes, Tokens, Egress-Fehler)
Koppeln Sie DM-Pairing mit logging.redactPatterns — Details und Feld-Mapping im dedizierten Log-Redaktions-Runbook. Mindestens maskieren: pairing_code, authorization, api_key, cookie, Roh-URLs mit Query-Tokens.
| Feld / Muster | Aktion | Retention-Hinweis |
|---|---|---|
| pairing_code, otp | Hash oder [REDACTED] | ≤ 7 Tage Debug |
| authorization Bearer | Immer redigieren | Kein Volltext in JSONL |
| egress_denied host | Host behalten, Pfad streichen | 30 T Audit |
Gates, validate und Rollback-Checkpoints
Merge-Gate (CI): installierte Pin-Version → synthetische Secrets injizieren → openclaw config validate → openclaw doctor --non-interactive → bei Exit ≠ 0 abbrechen.
- Checkpoint A: Zeitgestempeltes
~/.openclaw/openclaw.jsonvor Änderung. - Checkpoint B: validate grün in Staging am DE-Mac.
- Checkpoint C: doctor ohne ungeplante Migration.
- Checkpoint D: 50 Zeilen JSONL — keine Klartext-Secrets.
- Rollback: Gateway stoppen, Snapshot zurück, Paketversion pinnen, doctor erneut in Staging.
Loopback und SSH — minimale Exposition
Gateway bindet an 127.0.0.1; Administratoren nutzen SSH LocalForward (-L 18789:127.0.0.1:18789), niemals Gateway.Bind=lan ohne Ticket. Vollständige Schritte: SSH LocalForward + doctor. Nach Änderung: lsof -iTCP:18789 -sTCP:LISTEN muss nur Loopback zeigen.
Frankfurt — EU-API p95 Kurztabelle (vom DE-Remote-Mac)
Zweihundert HTTPS-Requests pro Host, Europe/Berlin, kein APAC-VPN im selben Lauf. Schwellen sind Betriebsampeln — keine Garantie.
| Ziel (EU) | p95 TTFB (ms) | Ampel | OpenClaw-Bezug |
|---|---|---|---|
| eu-central-1 (AWS) | 18–32 | Grün | STS/S3-Allowlist |
| westeurope (Azure) | 22–38 | Grün | Key Vault-Provider |
| europe-west3 (GCP) | 24–42 | Gelb bei >40 | Artifact Registry |
| api.openai.com (EU-Pfad) | 35–55 | Gelb | Model-Egress |
| Unlisted CDN | — | Rot — Allowlist | doctor egress_warn |
Mac mini M4 — 16 GB vs. 24 GB (OpenClaw + CI-Sonden)
| Profil | 16 GB + 1 TB | 24 GB + 2 TB |
|---|---|---|
| validate + doctor parallel | Einzel-Gateway | Gateway + Playwright-Canary |
| JSONL + lokaler Cache | Swap bei >6 GB Druck | Puffer für 7-Tage-Logs |
| Empfehlung | Staging / kleine Teams | Prod mit EU-Compliance-Pipeline |
RAM-Upgrade erst, wenn SEG-API grün und nur Build-Artefakte swapen — nicht umgekehrt.
Sieben Rollout-Schritte (minimal reproduzierbar)
- Node 22.14+ und gepinntes
openclawinstallieren; Snapshot der JSON-Config. dmPolicy: pairingundallowFromin Staging setzen.- EU-Egress-Allowlist aus Inventar (Model, Registry, Git, Telemetrie).
logging.redactPatternsgemäß Log-Runbook aktivieren.openclaw config validate— Exit 0 erforderlich.openclaw doctor --non-interactive; Gateway neu starten; JSONL stichproben.- Loopback/SSH prüfen; Frankfurt-p95-CSV an CAB; dann Produktion.
Zitierbare Betriebsgrößen (2026-05)
- Gate-Paar:
config validate+doctor --non-interactive— beide Exit 0 vor Merge. - Egress-Modus:
allowlistmit dokumentiertem Host-Inventar; unlisted = deny. - Bind: Gateway-Port nur
127.0.0.1; SSH-Lohne0.0.0.0. - p95-Stichprobe: n=200 pro EU-Host; gelb ab 42 ms TTFB über drei Werktage (CMP/Analytics analog).
FAQ — DM Pairing, Allowlist und config validate
validate und doctor grün? OpenClaw am Deutschland-Node fest verankern
Nach grünen validate/doctor-Gates: Startseite, Frankfurt Deutschland-Node und EU-Log-Redaktion im selben Release-Bundle bündeln.