Главная, страница узла LeanVPS Германия (Франкфурт), тарифы. Углубление: маскирование логов и белый список EU egress, loopback и SSH LocalForward, матрица AWS eu-central-1. Зафиксируйте скрипты приёмки до прод-релиза.
- Ограничение 1: открытый DM без pairing — любой handle запускает агента.
- Скрытая стоимость 2: allowlist и
config validateв разных тикетах — один релиз открывает US CDN. - Стабильность 3: в JSONL остаются pairing-коды и токены, хотя egress уже default-deny.
Резидентность данных на узле Германия и стратегия исходящего трафика
Выделенный Mac mini M4 в немецком PoP — якорь измерения и runtime. Конфиг и JSONL остаются на хосте, пока egress через корпоративный firewall или forward-proxy в режиме default-deny. Резидентность не заменяет DPA, но упрощает реагирование на инциденты и согласование с ИБ.
На практике команда фиксирует один путь к ~/.openclaw/ и один снимок перед изменением allowlist — иначе staging «зелёный», а прод на металле Франкфурта падает на doctor из-за расхождения схемы.
| Рычаг | Узел Германия (Франкфурт) | Только ноутбук APAC |
|---|---|---|
| p95 EU API | Стабильные EU-резолверы | Смещение тихоокеанской маршрутизацией |
| Путь конфига и логов | Один хост, один снимок | Дрейф между разработчиками |
| Ворота OpenClaw | validate + doctor на целевом Mac | Зелёно локально, красно в EU |
| Нарратив субпроцессора | Адрес DE в закупке | Несколько континентов |
DM pairing и allowlist — фрагменты конфигурации
Pairing блокирует неизвестных отправителей до шлюза агента. Закрепите ту же версию openclaw, что в CI; меняйте staging, пока openclaw config validate не станет зелёным.
"channels": { "telegram": { "dmPolicy": "pairing", "allowFrom": ["@approved-bot", "123456789"] } }
"egress": { "mode": "allowlist", "hosts": ["api.openai.com", "registry.npmjs.org", "*.europe-west3.gcr.io"] }
Добавляйте хосты провайдеров из release notes, не по интуиции. После каждого расширения allowlist: openclaw doctor --non-interactive и дымовой тест в EU-сети.
Маскирование полей логов (pairing-коды, токены, ошибки egress)
Свяжите DM pairing с logging.redactPatterns — карта полей в runbook маскирования EU. Минимум маскируйте: pairing_code, authorization, api_key, cookie и сырые URL с query-токенами.
| Поле / шаблон | Действие | Retention |
|---|---|---|
| pairing_code, otp | Хэш или [REDACTED] | ≤ 7 дн. debug |
| authorization Bearer | Всегда маскировать | Без полного текста в JSONL |
| egress_denied host | Хост да, path нет | 30 дн. аудит |
Комплаенс-ворота, config validate и точки отката
Ворота merge (CI): закреплённая установка → синтетические секреты → openclaw config validate → openclaw doctor --non-interactive → abort при ненулевом exit.
- Точка A:
~/.openclaw/openclaw.jsonс меткой времени до изменения. - Точка B: validate зелёный на staging Mac в Германии.
- Точка C: doctor без незапланированной миграции.
- Точка D: 50 строк JSONL — нет секретов в открытом виде.
- Откат: остановить шлюз, восстановить снимок, закрепить версию пакета, doctor в staging.
Loopback и SSH — минимальная поверхность экспозиции
Шлюз слушает только 127.0.0.1; администраторы используют SSH LocalForward (-L 18789:127.0.0.1:18789), никогда Gateway.Bind=lan без тикета. Полные шаги: SSH LocalForward + doctor. После изменения: lsof -iTCP:18789 -sTCP:LISTEN должен показывать только loopback.
Краткая таблица p95 EU API из Франкфурта (удалённый Mac Германия)
Двести HTTPS-запросов на host, часовой пояс Europe/Berlin, без APAC VPN в том же прогоне. Пороги — операционные сигналы, не SLA.
| Цель (EU) | p95 TTFB (мс) | Сигнал | Связь с OpenClaw |
|---|---|---|---|
| eu-central-1 (AWS) | 18–32 | Зелёный | STS/S3 в allowlist |
| westeurope (Azure) | 22–38 | Зелёный | Key Vault провайдер |
| europe-west3 (GCP) | 24–42 | Жёлтый если >40 | Artifact Registry |
| api.openai.com (EU-путь) | 35–55 | Жёлтый | egress модели |
| Нелистинговый CDN | — | Красный — allowlist | doctor egress_warn |
Mac mini M4 16 ГБ vs 24 ГБ (OpenClaw и CI-пробы)
| Профиль | 16 ГБ + 1 ТБ | 24 ГБ + 2 ТБ |
|---|---|---|
| validate + doctor параллельно | Один шлюз | Шлюз + Playwright canary |
| JSONL + локальный кэш | Swap при давлении >6 ГБ | Запас под 7-дневные логи |
| Рекомендация | Staging / малые команды | Прод с EU compliance pipeline |
Увеличивайте RAM только когда строки SEG-B API зелёные — не наоборот.
Семь шагов rollout (минимально воспроизводимо)
- Установить Node 22.14+ и закреплённый
openclaw; снимок JSON-конфига. - Выставить
dmPolicy: pairingиallowFromв staging. - Собрать EU egress allowlist из инвентаря (модель, registry, Git, телеметрия).
- Включить
logging.redactPatternsпо log runbook. openclaw config validate— обязателен exit 0.openclaw doctor --non-interactive; перезапуск шлюза; выборка JSONL.- Проверить loopback/SSH; приложить CSV p95 Франкфурт к CAB; затем прод.
Цитируемые операционные пороги (май 2026)
- Пара ворот:
config validate+doctor --non-interactive— оба exit 0 до merge. - Режим egress:
allowlistс документированным инвентарём host; нелистинговый = deny. - Bind: порт шлюза только
127.0.0.1; SSH-Lбез0.0.0.0. - Выборка p95: n=200 на EU host; жёлтый от 42 мс TTFB три будних дня подряд.
FAQ — DM pairing, allowlist и config validate
egress_denied в логах.validate и doctor зелёные? Закрепите OpenClaw на узле LeanVPS Германия
После зелёных ворот validate и doctor свяжите главную, узел Франкфурт и маскирование логов EU в одном релизном поезде.