企业官网建设流程全解析

1. 先搞清楚 openclaw + tailscale 为什么会拒绝访问

openclaw 是一个可以本地部署、通过 Web 后台管理的智能体运行环境，默认监听127.0.0.1:18789。tailscale 负责把这些只在本机回环地址上跑的服务，安全地暴露到你自己的内网设备组里。两者组合起来，就能在笔记本、台式机、NAS 之间互相访问 openclaw 后台，不用把端口开到公网。

问题也恰好出在这个组合上。openclaw 默认只绑定回环地址，tailscale 的 Serve 功能虽然能签发 HTTPS 证书并做反向代理，但如果 openclaw 侧的settings.json没有把监听地址、信任来源、网关端口对齐，浏览器打开 tailnet 域名时就会直接返回「拒绝访问」或者一直转圈。这个报错不是网络不通，而是服务端主动拒绝了这次请求。

这篇面向的是本地开发和内网联调场景：你已经在设备上装好了 openclaw，也装了 tailscale，想让组网内的其他机器访问 openclaw 后台，同时通过 TaoToken 的统一 Key/API 通道调用模型。目标是把 tailscale 侧的连通性和 openclaw 侧的配置一次对齐，并给出可复制的settings.json骨架、状态检查命令和逐层定位清单。

适合谁看：正在用 openclaw 做本地 Agent 开发、需要多设备联调、并且希望模型调用走统一通道的开发者。如果你只是单机跑 openclaw，不涉及 tailscale，这篇的排查思路同样能帮你理解「拒绝访问」的来源。

2. TaoToken 前置：统一 Key 与 API 通道准备

openclaw 调用模型时，需要配置一个兼容 OpenAI 协议的 API 地址和 Key。TaoToken 提供统一 Key/API 通道，把模型调用集中管理，省去在多个服务商之间来回切换配置的麻烦。openclaw 侧只需要把 base URL 指向 TaoToken 的 API 地址，再填入对应的 Key 即可。

TaoToken 的 API 地址是https://taotoken.net/api，这个地址用于程序内的接口调用，不要加额外参数。控制台和 Key 管理在官网入口进入，注册后可以在控制台创建 API Key，然后在「API Keys」页面复制出来。模型对话入口可以用来先验证 Key 是否可用，确认通道正常后再写进 openclaw 配置。

如果你打算长期跑编码类 Agent，可以关注 Coding Plan，它更适合高频调用场景。接入文档里有完整的参数说明，遇到协议细节问题时对照文档排查会快很多。

需要提醒的是：TaoToken 是合规的 API 通道服务，配置时只填官方给出的地址和 Key，不要自行拼接来源不明的中转地址。openclaw 的settings.json里模型部分和 tailscale 部分是两个独立区块，先分别配好，再联调。

3. 可复制配置：settings.json 骨架与 tailscale 命令

openclaw 的配置推荐用官方命令openclaw config交互式生成，而不是手改配置文件，因为手改容易漏字段。交互流程大致是：选择Local (this machine)，再选Gateway，端口默认回车（18789），监听方式选Tailnet (Tailscale IP)。这一步决定了 openclaw 是否愿意接受来自 tailscale 网段的请求。

下面是一个settings.json骨架，字段名以你实际版本的openclaw config输出为准，这里给出结构和关键值，方便你对照检查：

{ "gateway": { "host": "0.0.0.0", "port": 18789, "trustedProxies": ["127.0.0.1", "::1"], "allowTailnet": true }, "model": { "provider": "openai-compatible", "baseUrl": "https://taotoken.net/api", "apiKey": "sk-你的TaoTokenKey", "model": "你的模型名" }, "server": { "publicUrl": "https://你的设备名.你的tailnet.ts.net" } }

几个关键点解释一下。host设为0.0.0.0是为了让 tailscale 的 Serve 能转发进来；如果只写127.0.0.1，Serve 转发时可能被拒。trustedProxies里放回环地址，是因为 tailscale Serve 在本机做代理，请求来源是回环。allowTailnet这类开关在不同版本里名字可能不同，核心是允许 tailnet 来源访问。publicUrl填 tailscale 给你的 HTTPS 域名，openclaw 生成回调链接时会用到。

tailscale 侧的核心命令是在 openclaw 部署设备的终端里执行：

tailscale serve --bg --yes http://localhost:18789

这条命令的作用是开启 Tailscale 内网代理（Serve），把本机的 openclaw（127.0.0.1:18789）暴露到 tailnet 内网，自动签发 HTTPS 证书，--bg表示后台运行不占用终端，--yes跳过确认。执行后 tailscale 会分配一个https://设备名.tailnet名.ts.net的地址。

检查 tailscale 状态用这几条：

tailscale status tailscale serve status tailscale ip -4

tailscale status看设备是否在线、是否在同一 tailnet；tailscale serve status看 Serve 规则是否生效、转发目标端口对不对；tailscale ip -4拿到本机 tailnet IP，用于确认 openclaw 监听是否覆盖这个地址。

4. 三步验证：从连通性到模型调用

配置写完不要直接开浏览器，按三步走，每步都有明确的成功标志，出问题能立刻定位到是哪一层。

第一步，验证 tailscale 连通性。在另一台 tailnet 设备上执行：

tailscale ping 部署openclaw的设备名 curl -I https://部署openclaw的设备名.你的tailnet.ts.net

tailscale ping通说明组网没问题。curl -I返回HTTP/2 200或302说明 Serve 转发和证书都正常；如果返回502，说明 Serve 到了本机但 openclaw 没接住，问题在 openclaw 监听；如果连接被拒，说明 Serve 规则没生效，回到上一步检查tailscale serve status。

第二步，验证 openclaw 后台可访问。浏览器打开 tailscale 给的 HTTPS 地址，能进登录页或后台首页即成功。如果显示「拒绝访问」，先看 openclaw 终端日志有没有收到请求。日志里完全没有请求记录，说明请求没到 openclaw，问题在 tailscale Serve 或防火墙；日志里有请求但返回 403，说明到了 openclaw 但被信任策略拦了，检查trustedProxies和allowTailnet。

第三步，验证 TaoToken 通道。在 openclaw 里触发一次模型调用，或者直接用 curl 测通道：

curl https://taotoken.net/api/v1/chat/completions \ -H "Authorization: Bearer sk-你的TaoTokenKey" \ -H "Content-Type: application/json" \ -d '{"model":"你的模型名","messages":[{"role":"user","content":"ping"}]}'

返回正常 JSON 且带choices字段，说明 Key 和通道都没问题。如果返回 401，检查 Key 是否复制完整、是否有多余空格；返回 404，检查 base URL 是否写成了https://taotoken.net/api而不是带/v1的变体，具体以接入文档为准。

三步都通过后，openclaw 通过 tailscale 组网访问、并通过 TaoToken 调用模型的链路就完整了。

5. 本篇常见错排查：拒绝访问逐层定位清单

「拒绝访问」在不同层表现相似，但原因完全不同。下面按从外到内的顺序列清单，遇到报错从上往下查。

第一层，tailscale 层。现象是浏览器完全连不上，或提示证书错误。检查tailscale status里两台设备是否都是online，是否在同一 tailnet；检查tailscale serve status是否有指向http://localhost:18789的规则。如果 Serve 规则丢失（重启后没持久化），重新执行tailscale serve --bg --yes http://localhost:18789。

第二层，openclaw 监听层。现象是 Serve 正常但返回 502。检查 openclaw 是否真的在跑，ss -tlnp | grep 18789看端口有没有被监听；如果只监听127.0.0.1，Serve 转发通常没问题，但如果 openclaw 配了只允许特定来源，就要放开回环。确认settings.json里host和端口与 Serve 目标一致。

第三层，openclaw 信任策略层。现象是日志里有请求但返回 403。这是最常见的「拒绝访问」来源。检查trustedProxies是否包含127.0.0.1和::1；检查是否有allowTailnet或类似的来源白名单开关没打开；检查publicUrl是否和实际访问的 tailscale 域名一致，不一致时 openclaw 可能判定为跨站请求而拒绝。

第四层，TaoToken 通道层。现象是后台能进，但模型调用报错。401 查 Key，404 查 base URL，429 查额度或频率。这一层和 tailscale 无关，单独用第 4 节的 curl 命令就能隔离验证。

第五层，浏览器缓存与 Cookie。现象是配置都对了但仍旧拒绝。tailscale 域名换过、证书重签过之后，旧 Cookie 可能带着旧域信息。用无痕窗口打开，或清掉该域名的 Cookie 再试。这一层容易被忽略，但排查成本最低，建议早试。

把这份清单存下来，下次遇到拒绝访问，按层走一遍，基本能在几分钟内定位到具体环节，而不是盲目重启服务。

6. 配好之后：把通道固定下来

链路跑通后，建议把 tailscale Serve 规则和 openclaw 配置都固定下来，避免重启后失效。Serve 规则如果没持久化，可以在设备启动脚本里加一行tailscale serve --bg --yes http://localhost:18789。openclaw 的settings.json建议纳入版本管理，但 Key 不要明文提交，用环境变量注入更稳妥。

日常使用中，模型调用走 TaoToken 统一通道，Key 管理集中在控制台，换模型或调额度都不用改 openclaw 代码，只改配置里的模型名即可。需要长期跑编码 Agent 的话，Coding Plan 比按次调用更省心。接入过程中遇到协议或参数问题，接入文档里有对照表；想先确认某个模型是否可用，模型对话入口可以直接试。

最后留一个实用习惯：每次改完settings.json，先跑openclaw config的校验或重启服务，再用第 4 节的三步验证走一遍。这样每次改动都有明确的成功标志，不会出现「改了一堆不知道哪步生效」的情况。