workbuddy ai私有云部署需适配内网隔离与准入机制：一、实施网络隔离，划分独立vlan并配置acl与networkpolicy；二、对接nac系统，白名单服务ip、安装终端agent、启用mtls；三、配置私有dns解析及internal.corp域名；四、集成radius认证，映射角色与ou；五、限制外联，禁用遥测与自动更新。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您计划将WorkBuddy AI部署于企业私有云环境，但发现其无法稳定接入内网服务或出现通信中断、认证失败等问题，则很可能是由于网络隔离策略与内网准入机制未适配所致。以下是满足WorkBuddy私有云部署要求的关键配置步骤：
一、实施物理/逻辑网络隔离
WorkBuddy在私有云中运行时，必须确保AI服务组件（如推理引擎、Claw沙箱、OpenClaw CLI）与公网完全隔离，防止敏感指令外泄或外部攻击面暴露。该隔离需在基础设施层实现，而非仅依赖应用层防火墙规则。
1、在虚拟化平台（如VMware vSphere、OpenStack或阿里云专有云Apsara Stack）中为WorkBuddy集群划分独立VLAN，禁用该VLAN与互联网出口的三层路由互通。
2、配置交换机ACL策略，禁止除指定管理IP段（如10.10.50.0/24）外的所有设备访问WorkBuddy节点的6379（Redis）、8080（API网关）、11434（Ollama兼容端口）端口。
3、若使用Kubernetes部署，为WorkBuddy命名空间启用NetworkPolicy，仅允许来自同一命名空间内workbuddy-core、claw-sandbox、llm-router等Pod的入向连接，拒绝所有默认流量。
二、对接内网准入系统（NAC）
WorkBuddy客户端及后端服务需通过企业级网络准入控制（如基于802.1X、Portal或SASE架构的准入网关）完成身份核验与终端合规性检查，否则将被阻断接入内网资源。该步骤直接影响用户能否成功调用本地大模型或触发沙箱任务。
1、在办公安全平台（如阿里云SASE或深信服AC）的“网络准入 > 接入设备管理”中，将WorkBuddy服务端IP池（如172.16.200.10–172.16.200.30）添加至白名单，并绑定“AI服务-高可信”策略组。
2、为WorkBuddy客户端安装轻量级Agent插件（支持Windows/Linux/macOS），该插件启动时自动上报终端指纹（含TPM状态、磁盘加密标识、杀毒软件版本），供准入系统执行合规校验。
3、在准入策略中启用“动态证书绑定”，要求WorkBuddy服务端每次TLS握手均提供由企业内网CA签发的双向mTLS证书，证书主题名须匹配预注册的服务域名（如wb-api.internal.corp）。
三、配置私有DNS与本地服务发现
WorkBuddy各模块间依赖服务发现机制进行通信（如Claw沙箱需调用llm-router，任务缓存模块需连接本地Redis），若依赖公网DNS或未配置内网解析路径，将导致组件间连接超时或降级为直连IP，破坏安全隔离边界。
1、在企业内网DNS服务器（如BIND 9或CoreDNS）中新增正向解析区域internal.corp，为以下服务添加A记录：wb-api.internal.corp → 172.16.200.12、claw-sandbox.internal.corp → 172.16.200.15、redis-cache.internal.corp → 172.16.200.18。
2、修改WorkBuddy主配置文件config.yaml，将所有external_url字段替换为internal.corp域下的地址，例如将https://api.workbuddy.cloud改为https://wb-api.internal.corp。
3、在客户端部署脚本中注入DNS搜索域：执行命令sudo sh -c 'echo "search internal.corp" >> /etc/resolvconf/resolv.conf.d/base && resolvconf -u'（Linux）或通过MDM策略推送（macOS/Windows）。
四、启用私有化Radius认证集成
WorkBuddy管理后台与用户会话需对接企业已有的AAA认证体系，避免维护独立账号库。Radius协议是内网准入与身份鉴权的标准桥梁，必须正确配置以实现单点登录与审计联动。
1、登录办公安全平台控制台，在【网络准入 > 基础配置 > 认证服务器】页签下，点击【新增认证服务器】，填写Radius服务地址（如10.10.30.5:1812）、共享密钥及超时参数（建议超时设为5秒，重试次数为2）。
2、进入WorkBuddy管理后台【系统设置 > 身份提供商】，选择“RADIUS”类型，输入相同服务地址与密钥，并勾选“启用RADIUS属性映射”，将Radius返回的Filter-Id属性值映射为WorkBuddy角色（如“finance-role”→“报销审核专员”）。
3、在Radius服务器侧配置Vendor-Specific Attribute（VSA），向WorkBuddy传递用户所属组织单元（OU），格式为Cisco-AVPair = "shell:roles=finance,region=shanghai"，确保权限策略可按部门动态加载。
五、限制跨网段API调用与外联行为
即使部署于私有云，WorkBuddy默认仍可能尝试连接公网服务（如模型更新检查、技能市场同步、遥测上报）。必须在容器镜像层或运行时强制拦截所有非授权出向连接，否则将违反等保三级“安全区域边界”要求。
1、在Dockerfile中添加iptables规则：RUN iptables -A OUTPUT ! -d 172.16.0.0/12 -j REJECT --reject-with icmp-host-prohibited，并将该规则固化进基础镜像。
2、启动WorkBuddy容器时挂载受限网络命名空间：使用--network none参数，再通过docker network connect手动附加至仅含内部服务的自定义bridge网络（如wb-internal-net）。
3、在WorkBuddy配置文件中显式关闭联网功能：将enable_telemetry、auto_update_skills、check_model_updates三项全部设为false，并删除~/.workbuddy/config/telemetry.token文件。
