1. 企业内网里跑 OpenClaw为什么第一步不是装模型而是划边界很多团队第一次接触 OpenClaw脑子里想的是“赶紧把私有大模型接进来跑个 Demo”。我在几个企业内网环境里试过真正卡住落地的从来不是模型能不能跑而是权限边界没划清楚一个 Agent 拿着过大的服务账户能读财务共享盘、能调工单系统、还能往外部发请求这种“全能选手”一旦被提示词注入带偏后果比模型答错严重得多。OpenClaw 的定位是智能体安全防控平台它把 Agent、Skills、RAG 知识库、私有大模型这几层拆开管理。你可以把它理解成一个“带门禁的调度中心”Agent 是访客Skills 是它能进的门RAG 是它能翻的档案柜私有大模型是它的大脑。门禁规则不写清楚访客就能乱窜。所以安全部署的顺序应该是先定身份与网络边界再定 Skills 调用白名单最后才接私有模型。这套路径适合谁适合有内网合规要求、又想让智能体承接财务对账、IT 服务台、办公自动化这类真实业务的技术团队。它不适合只想在公网跑个玩具 Demo 的人因为下面这些配置在无边界环境里意义不大。本文交付的是可复制的 OpenClaw 配置片段、Skills 白名单示例以及用 TaoToken 统一 Key 接入模型服务的步骤最后给出内网连通性和权限校验的验证动作。需要先明确一个前提私有大模型部署在内网模型服务本身不直接暴露到公网所有对模型的调用都经过统一的 Key 网关收敛这样审计日志才有单一入口。TaoToken 在这里承担的就是统一 Key 接入层把模型对话、Coding Plan、API Keys 这些能力用一套凭证管理起来避免每个 Skill 各存一份密钥。2. TaoToken 统一 Key 接入把模型凭证从 Skills 里抽出来2.1 为什么密钥不能散落在每个 Skill 里Skills 安全开发规范里有一条常被忽略敏感信息API 密钥、密码的存储与调用。很多团队图省事直接在某个 Skill 的配置文件里写死模型 API Key。问题在于Skills 数量一多密钥就散落在十几个文件里轮换一次要改一遍审计时根本说不清哪个 Skill 用了哪把钥匙。更麻烦的是一旦某个 Skill 被注入攻击拿到执行权攻击者能直接读到明文密钥。正确做法是把模型凭证收敛到统一网关。TaoToken 的 API 入口是https://taotoken.net/api所有 Skill 只认这一个 Base URLKey 由平台侧统一管理。这样 Skills 配置文件里不再出现真实密钥只出现一个指向网关的地址和一个由平台下发的受限 Key。轮换、吊销、限流都在网关层完成Skills 无感知。2.2 前置准备账号、Key 与模型清单在接入之前你需要先在 TaoToken 控制台完成三件事。第一创建项目并生成 API Key这个 Key 后面会写进 OpenClaw 的模型配置里。第二确认你要用的模型 ID私有大模型和公有模型在网关侧是并列的调用方式一致只是 Model ID 不同。第三如果团队要长期跑编码类 Agent可以顺带了解 Coding Plan 的额度策略避免高峰期被限流打断。控制台地址是https://taotoken.net/consoleAPI Keys 管理页在https://taotoken.net/api-keys。这两个页面建议收藏后面排障时经常要回来核对 Key 状态和额度。模型对话的调试入口在https://taotoken.net/chat接入前可以先用它验证 Key 是否可用再去改 OpenClaw 配置这样能把“Key 错”和“配置错”两类问题分开。2.3 接入文档与 deep link 的用法接入文档在https://taotoken.net/doc里面按模型对话、Coding Plan、API Keys 分了章节。我建议先看 API Keys 那一节把鉴权头的格式确认清楚再去看模型对话的请求示例。Claude Code 相关的接入说明在https://taotoken.net/claudecode-anthropic如果你的 Agent 走的是 Anthropic 兼容协议这个页面能省不少调试时间。这里要强调一点TaoToken 是统一 Key 接入层不是让你绕过内网管控的通道。私有大模型仍然部署在你的内网网关只负责凭证收敛和调用审计。所有请求的源 IP、目标模型、调用方 Skill 都会留痕这恰好满足 OpenClaw 日志审计与监控告警的要求。3. 可复制配置OpenClaw 模型接入与 Skills 白名单3.1 OpenClaw 模型服务配置片段下面这段是 OpenClaw 侧接入统一 Key 的配置示例路径按你实际部署的config/model.yaml调整。核心是把base_url指向网关api_key从环境变量读取绝不写明文。# config/model.yaml model_providers: - name: taotoken-gateway type: openai_compatible base_url: https://taotoken.net/api api_key: ${TAOTOKEN_API_KEY} models: - id: private-llm-7b display_name: 内网私有模型 7B context_window: 32768 - id: private-llm-32b display_name: 内网私有模型 32B context_window: 131072 timeout_seconds: 60 max_retries: 2 audit: log_request: true log_response_meta: true redact_fields: [api_key, authorization]环境变量在服务启动脚本里注入不要写进仓库export TAOTOKEN_API_KEYsk-你的受限Key export OPENCLAW_MODEL_PROVIDERtaotoken-gatewayaudit段是重点。log_request: true记录请求元信息log_response_meta: true只记录响应元数据不落全文redact_fields确保密钥字段在日志里被脱敏。这三项配合 OpenClaw 的日志审计模块能满足“技能执行日志脱敏处理”的要求。3.2 Skills 白名单配置示例Skills 调用边界靠白名单控制。下面这段config/skills_allowlist.yaml定义了哪些 Skill 可以调、调哪个模型、单次调用上限是多少。# config/skills_allowlist.yaml skills: - name: finance_reconcile enabled: true allowed_models: [private-llm-32b] max_calls_per_minute: 20 require_approval: true allowed_actions: [read:ledger, read:invoice] denied_actions: [write:*, delete:*] - name: it_helpdesk enabled: true allowed_models: [private-llm-7b] max_calls_per_minute: 60 require_approval: false allowed_actions: [read:kb, create:ticket] denied_actions: [delete:*, exec:shell] - name: doc_summarize enabled: true allowed_models: [private-llm-7b] max_calls_per_minute: 30 require_approval: false allowed_actions: [read:doc] denied_actions: [write:*, share:external]require_approval: true对应敏感操作的二次确认流程财务对账这类 Skill 必须开。denied_actions用通配符兜底比逐条列黑名单更稳。max_calls_per_minute是限流与并发控制的第一道闸防止某个 Skill 被滥用打爆模型服务。3.3 权限隔离与网络边界配置服务账户按最小权限原则配置下面是一个 systemd 单元的片段限制 OpenClaw 服务只能访问内网网段和网关地址。# /etc/systemd/system/openclaw.service [Service] Useropenclaw-svc Groupopenclaw-svc EnvironmentFile/etc/openclaw/env NoNewPrivilegestrue PrivateTmptrue ProtectSystemstrict ProtectHometrue ReadWritePaths/var/lib/openclaw /var/log/openclaw IPAddressAllow10.0.0.0/8 192.168.0.0/16 IPAddressDenyanyIPAddressAllow只放行内网网段IPAddressDenyany兜底拒绝其他地址。这样即使某个 Skill 被注入攻击试图外联也会被内核层拦下。防火墙规则再补一层只放行 OpenClaw 到网关的出站 443 端口。4. 验证请求内网连通性与权限校验怎么做4.1 先验证网关连通性配置改完别急着启动 OpenClaw先用 curl 验证网关可达、Key 有效。这一步能把网络问题和配置问题分开。curl -sS -X POST https://taotoken.net/api/v1/chat/completions \ -H Authorization: Bearer ${TAOTOKEN_API_KEY} \ -H Content-Type: application/json \ -d { model: private-llm-7b, messages: [{role: user, content: ping}], max_tokens: 16 }返回里能看到choices数组就说明网关和 Key 都正常。如果返回 401先查 Key 是否过期或被吊销如果连接超时查内网到网关的出站规则。这一步过了再动 OpenClaw 配置。4.2 再验证 OpenClaw 到模型的链路启动 OpenClaw 后用它的健康检查接口确认模型 provider 已加载。curl -sS http://127.0.0.1:8080/health/models | jq .期望输出里taotoken-gateway的状态是healthymodels数组包含你配置的两个私有模型 ID。如果状态是degraded看 OpenClaw 日志里model_provider相关的报错通常是 Base URL 写错或环境变量没注入。4.3 权限校验白名单是否真的生效用一个不在白名单里的 Skill 发起调用确认被拒绝。curl -sS -X POST http://127.0.0.1:8080/skills/invoke \ -H Content-Type: application/json \ -d {skill: unknown_skill, action: read:ledger}期望返回403和skill not in allowlist。再用finance_reconcile调一个write:ledger动作期望返回403和action denied。这两个动作过了说明白名单和动作级权限都在生效。4.4 审计日志校验最后确认日志里密钥被脱敏、调用被留痕。grep -i authorization /var/log/openclaw/audit.log | head -5期望看到的是authorization: [REDACTED]而不是明文 Key。同时每条调用记录里应有skill、model、action、timestamp字段。这一步是合规审查时最常被翻的建议在部署阶段就固化下来。5. 常见报错排查401、local proxy failed 与 reading choices5.1 401 UnauthorizedKey 与鉴权头报错长这样{error: {message: invalid api key, type: authentication_error}}排查顺序先确认TAOTOKEN_API_KEY环境变量在 OpenClaw 服务进程里可见systemctl show openclaw -p Environment能看。再确认请求头是Authorization: Bearer sk-xxx不是x-api-key。最后去 API Keys 页面核对 Key 状态被吊销的 Key 会直接 401。如果 Key 没问题但还报 401检查是不是有中间层把 Authorization 头吃掉了比如某些反向代理默认不透传。5.2 local proxy failed内网出站被拦报错长这样local proxy failed: dial tcp 10.x.x.x:443: connect: connection refused这是 OpenClaw 到网关的出站被拦了。先查IPAddressAllow是否包含网关所在网段再查防火墙规则是否放行 443。如果网关在内网另一台机器上确认那台机器的服务在监听。这个报错和 Key 无关别去翻 Key 配置浪费时间。5.3 reading choices响应结构不匹配报错长这样failed to parse response: reading choices field: unexpected end of JSON input通常是网关返回了非预期结构比如返回了 HTML 错误页而不是 JSON。用 4.1 的 curl 命令直接打网关看原始返回。如果 curl 正常但 OpenClaw 报这个错检查 OpenClaw 的type是不是写成了openai_compatible写成别的协议会导致解析路径不对。另外确认max_tokens没设成 0某些网关对 0 值返回空体。5.4 OAuth 相关报错协议选错了报错长这样oauth token exchange failed: unsupported grant type如果你用的是 API Key 鉴权就不该走 OAuth 流程。检查 OpenClaw 配置里type字段openai_compatible走 Bearer 鉴权不需要 OAuth。只有走 Anthropic 兼容协议且平台要求 OAuth 时才需要配。Claude Code 接入场景参考https://taotoken.net/claudecode-anthropic那里有协议对照说明。5.5 三件套核对清单出现任何模型调用类报错先把这三件套对齐Base URL 是https://taotoken.net/apiKey 是控制台下发的受限 KeyModel ID 是控制台模型清单里的准确 ID。三者任一写错都会报错且报错信息不一定直指根因。建议把这三项写进部署检查单每次改配置后逐项核对。6. 从能跑到敢用把安全配置固化成部署检查单OpenClaw 加 Skills 加私有大模型这套组合跑通 Demo 不难难的是让它在内网里长期稳定且可审计地跑。我踩过的坑基本都集中在“配置漂移”上某次改了个 Skill 的模型 ID忘了同步白名单结果调用被拒某次轮换了 Key环境变量没更新服务重启后 401。这些问题的根因不是技术难是缺少检查单。建议把下面这些动作固化成部署检查单每次变更后逐项过一遍。模型接入三件套Base URL、Key、Model ID核对Skills 白名单与模型清单一致性核对服务账户权限与IPAddressAllow核对审计日志脱敏字段核对限流阈值与业务峰值核对。这五项过了基本能覆盖大部分线上事故。另外私有大模型的版本管理和 RAG 知识库的脱敏是两条独立的合规线。模型侧关注的是权重和推理服务的访问控制知识库侧关注的是 PII 识别和 RBAC。两者都通过 OpenClaw 的策略层收敛但配置文件和审计日志要分开管理别混在一个文件里否则排障时很难定位是哪一层出的问题。最后说一个实操细节Skills 的max_calls_per_minute不要一次设太高。先按业务峰值的 1.5 倍设跑一周看审计日志里的实际调用曲线再调整。设太高等于没限流设太低会误伤正常业务。这个值没有标准答案只能靠日志调出来。