Fly.io

Doel: OpenClaw Gateway uitvoeren op een Fly.io-machine met permanente opslag, automatische HTTPS en toegang tot Discord/kanalen.

Wat u nodig hebt

• flyctl CLI geïnstalleerd
• Fly.io-account (gratis abonnement volstaat)
• Modelauthenticatie: API-sleutel voor de gekozen modelprovider
• Kanaalreferenties: Discord-bottoken, Telegram-token enzovoort

Snelstart voor beginners

1. Kloon de repository en pas fly.toml aan
2. Maak de app en het volume, en stel geheimen in
3. Implementeer met fly deploy
4. Meld u aan via SSH om de configuratie te maken, of gebruik de bedieningsinterface

git clone https://github.com/openclaw/openclaw.gitcd openclaw # kies uw eigen naamfly apps create my-openclaw # 1 GB is doorgaans voldoendefly volumes create openclaw_data --size 1 --region iad

app = "my-openclaw"  # uw appnaamprimary_region = "iad" [build]  dockerfile = "Dockerfile" [env]  NODE_ENV = "production"  OPENCLAW_PREFER_PNPM = "1"  OPENCLAW_STATE_DIR = "/data"  NODE_OPTIONS = "--max-old-space-size=1536" [processes]  app = "node dist/index.js gateway --allow-unconfigured --port 3000 --bind lan" [http_service]  internal_port = 3000  force_https = true  auto_stop_machines = false  auto_start_machines = true  min_machines_running = 1  processes = ["app"] [[vm]]  size = "shared-cpu-2x"  memory = "2048mb" [mounts]  source = "openclaw_data"  destination = "/data"

# vereist: gateway-authenticatietoken voor binding buiten loopbackfly secrets set OPENCLAW_GATEWAY_TOKEN=$(openssl rand -hex 32) # API-sleutels van modelprovidersfly secrets set ANTHROPIC_API_KEY=example-anthropic-key-not-real # optioneel: andere providersfly secrets set OPENAI_API_KEY=example-openai-key-not-realfly secrets set GOOGLE_API_KEY=... # kanaaltokensfly secrets set DISCORD_BOT_TOKEN=example-discord-bot-token

fly deploy

fly statusfly logs

fly ssh console

mkdir -p /datacat > /data/openclaw.json << 'EOF'{  "agents": {    "defaults": {      "model": {        "primary": "anthropic/claude-opus-4-6",        "fallbacks": ["anthropic/claude-sonnet-4-6", "openai/gpt-5.4"]      },      "maxConcurrent": 4    },    "list": [      {        "id": "main",        "default": true      }    ]  },  "auth": {    "profiles": {      "anthropic:default": { "mode": "token", "provider": "anthropic" },      "openai:default": { "mode": "token", "provider": "openai" }    }  },  "bindings": [    {      "agentId": "main",      "match": { "channel": "discord" }    }  ],  "channels": {    "discord": {      "enabled": true,      "groupPolicy": "allowlist",      "guilds": {        "YOUR_GUILD_ID": {          "channels": { "general": { "allow": true } },          "requireMention": false        }      }    }  },  "gateway": {    "mode": "local",    "bind": "auto",    "controlUi": {      "allowedOrigins": [        "https://my-openclaw.fly.dev",        "http://localhost:3000",        "http://127.0.0.1:3000"      ]    }  },  "meta": {}}EOF

exitfly machine restart <machine-id>

fly open

fly logs              # live-logboekenfly logs --no-tail    # recente logboeken

fly ssh console

Problemen oplossen

"App luistert niet op het verwachte adres"

De Gateway bindt aan 127.0.0.1 in plaats van aan 0.0.0.0.

Oplossing: voeg --bind lan toe aan de procesopdracht in fly.toml.

Mislukkende statuscontroles / verbinding geweigerd

Fly kan de Gateway niet bereiken op de geconfigureerde poort.

Oplossing: zorg dat internal_port overeenkomt met de Gateway-poort (--port 3000 of OPENCLAW_GATEWAY_PORT=3000).

OOM-/geheugenproblemen

De container blijft opnieuw starten of wordt steeds beëindigd. Signalen: SIGABRT, v8::internal::Runtime_AllocateInYoungGeneration of stille herstarts.

Oplossing: vergroot het geheugen in fly.toml:

[[vm]]  memory = "2048mb"

Of werk een bestaande machine bij:

fly machine update <machine-id> --vm-memory 2048 -y

512 MB is te weinig. 1 GB kan werken, maar kan onder belasting of bij uitgebreide logboekregistratie een OOM veroorzaken. 2 GB wordt aanbevolen.

Problemen met de Gateway-vergrendeling

De Gateway weigert na een herstart van de container te starten met fouten dat deze „al actief” is.

Het vergrendelingsbestand voor één instantie bevindt zich in <tmpdir>/openclaw-<uid>/gateway.<hash>.lock (Linux: /tmp/openclaw-<uid>/gateway.<hash>.lock), niet op het permanente /data-volume. Een volledige herstart van de container wist het daarom normaal gesproken samen met de rest van het containerbestandssysteem. Als de vergrendeling behouden blijft (bijvoorbeeld bij een fly machine restart waarbij het containerbestandssysteem behouden blijft) en het starten blokkeert, verwijdert u deze handmatig:

fly ssh console --command "rm -f /tmp/openclaw-*/gateway.*.lock"fly machine restart <machine-id>

Configuratie wordt niet gelezen

--allow-unconfigured omzeilt alleen de startcontrole. Het maakt of herstelt /data/openclaw.json niet. Zorg er daarom voor dat uw werkelijke configuratie bestaat en voor een normale lokale start van de Gateway "gateway": { "mode": "local" } bevat.

Controleer of de configuratie bestaat:

fly ssh console --command "cat /data/openclaw.json"

Configuratie schrijven via SSH

fly ssh console -C ondersteunt geen shellomleiding. Een configuratiebestand schrijven:

# echo + tee (doorsturen van lokaal naar extern)echo '{"your":"config"}' | fly ssh console -C "tee /data/openclaw.json" # of sftpfly sftp shell> put /local/path/config.json /data/openclaw.json

fly sftp kan mislukken als het bestand al bestaat; verwijder het eerst:

fly ssh console --command "rm /data/openclaw.json"

Status blijft niet behouden

Als u na een herstart authenticatieprofielen, kanaal-/providerstatus of sessies verliest, wordt de statusmap naar het containerbestandssysteem geschreven in plaats van naar het volume.

Oplossing: zorg dat OPENCLAW_STATE_DIR=/data in fly.toml is ingesteld en implementeer opnieuw.

Bijwerken

git pullfly deployfly statusfly logs

git pull + fly deploy is hier het gecontroleerde pad: hiermee wordt de image opnieuw vanuit het Dockerfile gebouwd, zodat de CLI-/Gateway-versie, de basisimage van het besturingssysteem en eventuele Dockerfile-wijzigingen samen worden bijgewerkt. openclaw update binnen de actieve container is niet dezelfde handeling, omdat de image wordt geleverd als een door Docker gebouwde dist/-structuur, zonder .git-checkout en zonder door npm beheerde globale installatie die kan worden gedetecteerd. Zie Bijwerken voor die werkwijze bij VM-achtige installaties.

De machineopdracht bijwerken

De startopdracht wijzigen zonder volledige herimplementatie:

fly machines listfly machine update <machine-id> --command "node dist/index.js gateway --port 3000 --bind lan" -y # of met meer geheugenfly machine update <machine-id> --vm-memory 2048 --command "node dist/index.js gateway --port 3000 --bind lan" -y

Een latere fly deploy zet de machineopdracht terug naar wat in fly.toml staat; pas handmatige wijzigingen na de herimplementatie opnieuw toe.

Privé-implementatie (versterkt)

Fly wijst standaard openbare IP-adressen toe, waardoor uw Gateway bereikbaar is via https://your-app.fly.dev en kan worden gevonden door internetscanners (Shodan, Censys enzovoort).

Gebruik deploy/fly.private.toml voor een versterkte implementatie zonder openbaar IP-adres: hierin ontbreekt [http_service], zodat geen openbare inkomende toegang wordt toegewezen.

Wanneer u een privé-implementatie gebruikt

• Alleen uitgaande aanroepen/berichten (geen inkomende webhooks)
• ngrok- of Tailscale-tunnels verwerken eventuele Webhook-callbacks
• Toegang tot de Gateway verloopt via SSH, proxy of WireGuard in plaats van via een browser
• De implementatie moet verborgen blijven voor internetscanners

Instellen

fly deploy -c deploy/fly.private.toml

Of zet een bestaande implementatie om:

# huidige IP-adressen weergevenfly ips list -a my-openclaw # openbare IP-adressen vrijgevenfly ips release <public-ipv4> -a my-openclawfly ips release <public-ipv6> -a my-openclaw # overschakelen naar de privéconfiguratie, zodat toekomstige implementaties geen openbare IP-adressen opnieuw toewijzenfly deploy -c deploy/fly.private.toml # uitsluitend privé-IPv6 toewijzenfly ips allocate-v6 --private -a my-openclaw

Hierna zou fly ips list alleen een IP van het type private moeten tonen:

VERSION  IP                   TYPE             REGIONv6       fdaa:x:x:x:x::x      private          global

Toegang tot een privé-implementatie

Optie 1: lokale proxy (eenvoudigst)

fly proxy 3000:3000 -a my-openclaw# open http://localhost:3000 in een browser

Optie 2: WireGuard-VPN

fly wireguard create# importeer dit in een WireGuard-client en maak vervolgens verbinding via het interne IPv6-adres# voorbeeld: http://[fdaa:x:x:x:x::x]:3000

Optie 3: alleen SSH

fly ssh console -a my-openclaw

Webhooks bij een privé-implementatie

Voor Webhook-callbacks (Twilio, Telnyx enzovoort) zonder openbare blootstelling:

1. ngrok-tunnel: voer ngrok uit in de container of als sidecar
2. Tailscale Funnel: stel specifieke paden beschikbaar via Tailscale
3. Alleen uitgaand: sommige providers (Twilio) werken voor uitgaande gesprekken zonder Webhooks

Voorbeeldconfiguratie voor spraakoproepen met ngrok, onder plugins.entries.voice-call.config:

{  plugins: {    entries: {      "voice-call": {        enabled: true,        config: {          provider: "twilio",          tunnel: { provider: "ngrok" },          webhookSecurity: {            allowedHosts: ["example.ngrok.app"],          },        },      },    },  },}

De ngrok-tunnel wordt in de container uitgevoerd en biedt een openbare Webhook-URL zonder de Fly-app zelf openbaar te maken. Stel webhookSecurity.allowedHosts in op de hostnaam van de tunnel, zodat doorgestuurde hostheaders worden geaccepteerd.

Afwegingen rond beveiliging

Opmerkingen

• Fly.io gebruikt de x86-architectuur; het Dockerfile is compatibel met zowel x86 als ARM.
• Gebruik fly ssh console voor de onboarding van WhatsApp/Telegram.
• Permanente gegevens bevinden zich op het volume op /data.
• Signal vereist signal-cli (een op Java gebaseerde CLI) in de image; gebruik een aangepaste image en wijs minimaal 2 GB geheugen toe.

Kosten

Met de aanbevolen configuratie (shared-cpu-2x, 2 GB RAM) kunt u, afhankelijk van het gebruik, rekenen op ongeveer $10-15 per maand; het gratis abonnement dekt een deel van de basistoewijzing. Zie prijzen van Fly.io voor de actuele tarieven.

Volgende stappen

• Stel berichtenkanalen in: Kanalen
• Configureer de Gateway: Gateway-configuratie
• Houd OpenClaw up-to-date: Bijwerken

Gerelateerd

• Installatieoverzicht
• Hetzner
• Docker
• VPS-hosting