统一纳管企业多网关需先启用SNMPv3/NETCONF等安全协议并关闭明文通道，再通过OpenClaw等控制器批量发现、分组纳管，最后基于分组模板统一下发DNS与静态路由策略，确保配置一致性和安全性。
当企业办公网络中存在多个网关设备（如财务区独立网关、研发区双活网关、访客WiFi专用网关），手动逐台登录修改DNS、静态路由或ACL策略，极易导致配置不一致、策略遗漏甚至策略冲突引发断网。
统一纳管前提：确认网关设备支持集中管理协议
登录任一目标网关的Web管理界面，在【系统】→【远程管理】或【控制器对接】中查找是否启用SNMPv3、NETCONF over SSH、RESTful API或私有Agent接入开关。OpenClaw、SOFAStack、华为iMaster NCE等平台仅能纳管明确开启对应协议的设备；若此处为灰色不可配状态，后续所有操作均无效。
关闭Telnet、HTTP等明文管理通道，【必须启用SSH或HTTPS作为唯一管理入口】，否则集中下发的密钥和策略可能被中间人截获。
部署轻量级统一控制器（以OpenClaw为例）
方法一：Docker一键部署（推荐测试环境）
在一台CentOS 7.9+或Ubuntu 22.04服务器上执行：
docker run -d --name openclaw -p 8080:8080 -p 10000-10010:10000-10010/tcp -v /opt/openclaw/conf:/app/conf -v /opt/openclaw/logs:/app/logs openclaw/controller:v2.4.1
容器启动后访问 http://服务器IP:8080，使用默认账号 admin/admin 登录。
方法二：裸机安装（生产环境必需）
下载 openclaw-controller-2.4.1-linux-amd64.tar.gz → 解压至 /opt/openclaw → 修改 conf/application.yml 中 database.url 为真实PostgreSQL地址 → 执行 ./bin/start.sh 启动服务。
【注意：数据库必须预先初始化，且字符集设为utf8mb4，否则中文策略名保存后显示为?】
将分散网关批量接入统一控制面
第一步：在OpenClaw控制台点击【网关管理】→【添加网关】→ 选择“自动发现”
第二步：填写扫描范围，例如 192.168.10.0/24,192.168.20.0/24,10.1.5.0/28 —— 注意不要填错掩码位数，/32会只扫一个IP，/16可能耗时超10分钟导致页面超时。
第三步：勾选“启用SNMPv3发现”，输入各网关预设的SNMPv3用户名（如claw-admin）与认证密码（非Web登录密码）→ 点击【开始扫描】
第四步：扫描完成后，列表中显示“在线”且状态为绿色的设备，点击右侧【纳管】按钮；若显示“认证失败”，需返回对应网关的SNMP设置页核对authKey与privKey是否与此处完全一致（区分大小写、不可有多余空格）。
第五步：全部纳管成功后，在【网关分组】中创建“办公核心区”“访客隔离区”“研发测试区”三个分组，将对应网关拖入归属分组——分组是后续策略批量下发的最小单位。
通过模板实现DNS与静态路由统一下发
方法1：基于分组推送全局DNS配置
进入【配置模板】→【新建模板】→ 模板类型选“系统基础配置”→ 在DNS服务器字段填入 223.5.5.5,119.29.29.29 → 保存后点击【批量应用】→ 勾选“办公核心区”与“研发测试区” → 确认下发。
方法2：为访客区单独配置静态路由（避免访问内网）
在同一模板编辑页，展开【高级路由】→ 添加静态路由条目：目的网段填 192.168.0.0/16，下一跳留空（表示禁止访问），勾选“拒绝转发” → 仅对该模板绑定“访客隔离区”分组 → 下发。
这一步操作起来很简单，直接把文件拖进去就行。
验证配置是否真正生效
登录任意一台已纳管网关的CLI（通过SSH），执行 show running-config | include ip route 或 ip route show，确认输出中包含由OpenClaw下发的路由条目，且时间戳为最近10分钟内。
从该网关下挂的PC执行 tracert 119.29.29.29，路径第一跳应为本机网关IP，第二跳应为223.5.5.5所在运营商骨干节点——若第二跳出现内网其他设备IP，说明DNS未生效或本地hosts劫持。
