客户端连接被拒主因是docker服务未启动、用户权限不足或socket路径配置异常：需检查systemctl状态、将用户加入docker组、验证daemon.json中是否保留unix:///var/run/docker.sock。
客户端连接被拒（如 docker: command not found 或 cannot connect to the docker daemon at unix:///var/run/docker.sock）通常不是 docker engine 安装失败，而是服务未启动、权限不足或 socket 路径配置异常。重点排查以下几项：
确认 Docker 服务是否已启动并运行
Docker Engine 安装后默认不自动启用服务（尤其在 Linux 上），需手动启动并设为开机自启：
- Ubuntu/Debian：sudo systemctl start docker && sudo systemctl enable docker
- CentOS/RHEL：sudo systemctl start docker && sudo systemctl enable docker
- macOS（Docker Desktop）：检查菜单栏图标是否为绿色；若灰色，点击启动
- Windows（WSL2 + Docker Desktop）：确保 Docker Desktop 正在运行，且 WSL 集成已启用（Settings → Resources → WSL Integration）
验证当前用户是否在 docker 用户组中
普通用户默认无权访问 /var/run/docker.sock，直接执行 docker ps 会报“permission denied”或连接被拒：
OpenClaw Docker Setup
下载
在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...
- 添加当前用户到 docker 组：sudo usermod -aG docker $USER
- 退出终端重登，或运行 newgrp docker 刷新组权限
- 验证：groups 应包含
docker；ls -l /var/run/docker.sock 显示 group 为 docker 且有读写权限（srw-rw----）
检查 Docker 守护进程配置与 socket 路径
连接被拒也可能源于守护进程未监听默认 Unix socket，或配置了 TCP 监听但未授权：
- 查看守护进程状态：sudo systemctl status docker，确认 Active: active (running)，无报错
- 检查配置文件（
/etc/docker/daemon.json）是否误删或错误配置了hosts字段（如只留tcp://127.0.0.1:2376而移除了unix:///var/run/docker.sock） - 若修改过配置，重启服务：sudo systemctl daemon-reload && sudo systemctl restart docker
macOS 和 Windows 的特殊注意事项
Docker Desktop 不同于 Linux 原生安装，其 CLI 依赖后台应用提供服务：
- 确保已安装最新版 Docker Desktop（非仅
dockerCLI 工具包） - macOS：检查
~/.docker/run是否存在，DOCKER_HOST环境变量未被意外覆盖（可临时清空：unset DOCKER_HOST） - Windows：WSL2 中执行
docker命令前，确认已启用“Use the WSL 2 based engine”并在对应发行版中安装了docker-cli（推荐使用 Docker Desktop 自带的集成 CLI）
