OpenClaw Web控制台“无法连接”主因是18789端口未被云平台安全组放行或本地防火墙拦截，需依次检查阿里云/腾讯云安全组、UFW/firewalld/Windows防火墙及网关bind地址是否设为0.0.0.0。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您尝试访问OpenClaw Web控制台，但浏览器显示“无法连接”或“ERR_CONNECTION_REFUSED”，则极可能是因为18789端口未被云平台安全组放行，或本地/服务器防火墙主动拦截了该端口通信。以下是针对性的排查与配置方案：
一、阿里云安全组规则配置
阿里云轻量应用服务器或ECS实例默认不开放18789端口，必须手动添加入方向规则才能允许公网访问Web控制台。
1、登录阿里云控制台，进入轻量应用服务器或ECS管理页面。
2、选择部署OpenClaw的实例，点击“更多”→“网络和安全组”→“配置安全组”。
3、在安全组规则页，点击“添加安全组规则”。
4、协议类型选择TCP，端口范围填写18789/18789，授权对象设置为0.0.0.0/0（测试阶段）或指定IP段（生产环境建议限制）。
5、保存后等待约30秒生效，期间勿重启服务。
二、腾讯云安全组与网络ACL配置
腾讯云需同步检查安全组及网络ACL两层策略，任一层阻断均会导致端口不可达。
1、进入腾讯云控制台，定位至“云服务器CVM”或“轻量应用服务器”实例详情页。
2、点击“安全组”标签，选择绑定的安全组，点击“编辑规则”。
3、新增入站规则：类型选“自定义TCP”，端口范围填18789，源IP填0.0.0.0/0，策略设为“允许”。
4、若使用VPC，还需进入“网络ACL”页面，确认对应子网的入站规则中包含允许18789端口的条目，且规则优先级高于拒绝规则。
5、修改完成后，刷新实例网络状态，避免缓存延迟。
三、Ubuntu/Debian系统UFW防火墙配置
UFW（Uncomplicated Firewall）是Debian系默认防火墙工具，若启用则会独立拦截端口，不受云平台安全组影响。
1、执行命令检查UFW当前状态：sudo ufw status verbose。
2、若显示“Status: active”，说明已启用，需显式放行端口。
3、执行命令放行18789端口：sudo ufw allow 18789/tcp。
4、执行命令重载配置：sudo ufw reload。
5、再次运行sudo ufw status numbered，确认18789端口出现在允许列表中。
OpenClaw 基础设施心跳监控与自动恢复：部署/卸载心跳守护进程，配置主机监控（Gateway、磁盘、内存、CPU、进程），设置飞书告警，自动重启故障Gateway。适用关键词：心跳监控、heartbeat daemon、服务器告警、自动重启、健康检查、auto recovery。
四、CentOS/RHEL系统firewalld配置
firewalld采用区域（zone）管理模式，需确保目标端口在活跃区域中永久开放。
1、确认firewalld服务正在运行：sudo firewall-cmd --state（应返回“running”）。
2、查看当前默认区域：sudo firewall-cmd --get-default-zone。
3、向默认区域添加18789端口并设为永久：sudo firewall-cmd --permanent --add-port=18789/tcp。
4、重新加载防火墙配置：sudo firewall-cmd --reload。
5、验证端口是否生效：sudo firewall-cmd --list-ports | grep 18789，有输出即成功。
五、Windows系统防火墙与端口释放
Windows Defender防火墙默认阻止非白名单程序监听公网端口，且需排除其他进程对18789端口的占用。
1、以管理员身份打开PowerShell，执行：netstat -ano | findstr :18789，记录末尾PID。
2、若PID存在，执行：taskkill /F /PID [PID]（将[PID]替换为实际数字）。
3、若不确定进程来源，可批量终止Node.js相关进程：Get-Process node -ErrorAction SilentlyContinue | Stop-Process -Force。
4、打开“高级安全Windows Defender防火墙”，点击“入站规则”→“新建规则”，选择“端口”，输入TCP 18789，操作设为“允许连接”，配置文件勾选全部（域、专用、公用）。
5、规则名称建议填写“OpenClaw Gateway Port”，便于后续识别。
六、OpenClaw网关绑定地址修正
即使端口开放，若OpenClaw网关仅监听127.0.0.1（loopback），外部请求仍会被拒绝，必须将其改为监听0.0.0.0或lan模式。
1、执行命令查看当前网关配置：openclaw config get gateway。
2、检查输出中"bind"字段值，若为"loopback"或"127.0.0.1"，则需修改。
3、执行命令切换绑定模式：openclaw config set gateway.bind "lan"。
4、重启网关服务使配置生效：openclaw gateway restart。
5、重启后执行ss -tlnp | grep 18789（Linux）或netstat -ano | findstr :18789（Windows），确认监听地址为*:18789或0.0.0.0:18789。
