workbuddy调用技能提示“网络异常”时，需依次排查：一、验证workbuddy实例安全组出站规则是否放行https/http；二、检查目标服务端安全组入站规则是否允许workbuddy私网ip访问对应端口；三、确认vpc路由表包含本地、对等vpc或公网的正确路由；四、启用vpc流日志定位reject连接。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在WorkBuddy调用技能时提示“网络异常”，且该技能依赖远程服务（如VPC内托管的模型API、私有SkillHub镜像或OpenClaw后端），则问题可能源于VPC网络安全组配置不当，导致出站请求被拦截或入站响应无法回传。以下是针对性排查步骤：
一、验证WorkBuddy所在实例安全组的出站规则
WorkBuddy客户端或服务端若部署于VPC内的EC2或CVM实例，其发起的技能调用请求需通过安全组允许的出站流量才能抵达目标服务（如SkillHub、模型网关）。若出站规则未放行对应协议与端口，将直接触发连接超时或拒绝。
1、登录云控制台，定位到WorkBuddy所运行的云服务器实例。
2、进入该实例关联的安全组详情页，切换至「出站规则」标签。
3、确认存在一条规则：类型为All traffic或至少包含HTTPS (TCP 443)与HTTP (TCP 80)，目标为0.0.0.0/0或明确包含SkillHub域名解析IP段（如codebuddy.cn所属CNI段）。
4、若仅允许特定IP，需补充添加WorkBuddy所需访问的目标服务公网IP或VPC对等连接另一端的CIDR块。
二、检查目标服务端安全组的入站规则
当WorkBuddy调用技能需访问部署于同VPC或对等VPC中的私有服务（如自建OpenClaw节点、内部模型API）时，目标服务所在实例的安全组必须显式允许来自WorkBuddy实例私网IP的入站连接，否则响应包被丢弃，表现为“网络异常”。
1、识别技能调用链路中的目标服务地址（例如OpenClaw监听地址为http://10.0.5.20:18789）。
2、找到该目标服务所在云服务器，进入其绑定的安全组「入站规则」页。
3、确认存在一条规则：类型为Custom TCP，端口范围为18789（或对应服务实际端口），源为WorkBuddy实例的私网IP地址或其所在子网CIDR（如10.0.3.0/24）。
4、若使用VPC对等连接，源必须填写对等VPC的CIDR，而非0.0.0.0/0，且确保对等连接本身处于active状态。
完整的工作区安全套件：检测未授权修改，扫描提示注入模式，自动响应应对措施——快照恢复、技能隔离、Git回滚和自动保护扫描。智能体工作区的完整安装后安全层。
三、确认VPC路由表中无隐式拒绝路径
即使安全组放行，若VPC路由表未为跨子网或跨VPC流量配置有效路由，数据包将在路由层被静默丢弃，日志中常体现为无响应而非连接拒绝，易被误判为网络异常。
1、在WorkBuddy实例所在子网的路由表中，查找目标服务地址（如10.0.5.20）是否匹配某条路由。
2、若目标为同VPC内其他子网，应存在指向本地（Local）的路由（目标CIDR为VPC网段，如10.0.0.0/16）。
3、若目标为对等VPC，则必须存在一条路由：目标为对等VPC CIDR（如10.1.0.0/16），下一跳为pcx-xxxxxxxx（对等连接ID）。
4、若目标为公网服务（如skillhub.codebuddy.cn），必须存在一条路由：目标为0.0.0.0/0，下一跳为igw-xxxxxxxx（Internet网关）或NAT网关ID。
四、启用VPC流日志并过滤异常连接尝试
VPC流日志可捕获被安全组或网络ACL拒绝的具体连接记录，是定位隐性拦截的最直接证据。启用后可明确判断是出站被阻、入站被拒，还是路由不可达。
1、在云控制台VPC服务中，进入「流日志」页面，点击「创建流日志」。
2、资源类型选择VPC，目标选择CloudWatch Logs组（需提前创建）。
3、创建完成后等待5分钟，前往CloudWatch Logs，筛选日志组中含WorkBuddy实例私网IP的日志条目。
4、查找字段action: REJECT且dstaddr为目标服务IP的记录，结合packets: 0或bytes: 0确认为初始SYN包即被拒。
