企业官网建设流程全解析

1. 为什么本地 OpenClaw 一出门就“失联”

很多人折腾 OpenClaw 的初衷很简单：数据在自己硬盘里，模型跑在自己机器上，聊天记录、代码片段、内部文档都不用往外传。部署完那一刻确实爽，浏览器打开http://127.0.0.1:18789，一个完全受自己掌控的 AI 助手就在眼前。但问题也随之而来——这个地址只在你家那台电脑上有效，换个设备、换个网络，立刻打不开。

我自己就踩过这个坑。有次出差在外，临时想查一份存在家里电脑上的技术方案，脑子里第一反应是“问一下 OpenClaw”，结果掏出手机才发现，它根本连不上。那一刻才意识到，本地部署的 AI 如果只能在局域网里用，价值其实被砍掉了一大半。它更像一个“坐在书房里的专家”，你人不在书房，就找不到他。

这个痛点的本质是网络边界。OpenClaw 默认监听的是本机回环地址或局域网地址，路由器不会主动把内网端口暴露到公网，运营商也不会白送你一个固定公网 IP。所以从外网看，你家那台跑着 OpenClaw 的电脑就像一座孤岛，外面的人根本不知道它的存在。

要解决这个问题，思路有两条：一条是改网络层，比如申请公网 IP、做端口映射、配 DDNS，但这对普通用户门槛太高，还涉及路由器权限和运营商策略；另一条是走内网穿透，用一条加密隧道把本地服务“映射”到一个公网可访问的地址上，不需要动路由器，也不需要公网 IP。cpolar 就是这类工具里上手比较快的一个。

但光有穿透还不够。穿透解决的是“能不能连上”，而 OpenClaw 本身还有一层访问控制——网关令牌、来源白名单、设备配对批准。这些安全机制默认只信任本机来源，一旦你从公网域名访问，就会被拦下来，报出origin not allowed之类的错误。所以完整的方案其实是两件事：用 cpolar 打通网络通道，用 TaoToken 统一管理模型调用的 Key 和 API 通道，让本地服务在外网访问时依然能稳定调用模型能力。

这里先厘清一个容易混淆的点：cpolar 负责的是“访问通道”，TaoToken 负责的是“模型调用通道”。前者让你能从外网打开 OpenClaw 的界面，后者让 OpenClaw 在需要调用大模型时，有一个统一、可切换、便于管理的 API 入口。两者配合，才是“随时随地访问本地 AI”的完整形态。

适合读这篇的人大概有三类：一是已经在本地部署了 OpenClaw，但苦于只能在家用；二是想把自己的本地 AI 服务分享给朋友或团队，但不想暴露整个内网；三是手里有 NAS、迷你主机、旧笔记本改的服务器，想让它真正发挥远程价值。下面我会从环境准备开始，一步步把 cpolar 隧道、TaoToken 接入参数、访问验证和常见报错都过一遍，尽量做到你照着敲就能跑通。

2. TaoToken 统一通道与 cpolar 隧道的前置准备

在动手配隧道之前，先把两边的“地基”打好。很多人一上来就急着开 cpolar，结果 OpenClaw 那边的模型调用还没配通，穿透出去打开界面也问不了问题，白折腾。所以这一节分两块：一块是 TaoToken 的 Key 和 API 通道准备，一块是 cpolar 的安装与账号登录。

先说 TaoToken。它的定位是一个统一的模型调用通道，你可以把它理解成“一个入口，背后接多种模型”。对 OpenClaw 这种需要频繁调用大模型的服务来说，好处是 Key 和 Base URL 集中管理，换模型、换通道不用改一堆配置文件。你需要先去官网拿到 API Key，地址是https://taotoken.net/api，注意这个是不带跟踪参数的接口地址，配置里填的就是它。

拿到 Key 之后，记下三个核心参数，后面配置 OpenClaw 时会反复用到：

如果你还没生成 Key，可以走这个路径：打开https://taotoken.net/api-keys?utm_source=taotoken_aicg_blog_end&utm_content=api_keys&utm_campaign=rewrite，在控制台里创建。创建时建议给 Key 起个能认出来的名字，比如openclaw-home，方便以后区分是给哪台机器用的。

接着是 cpolar。它的安装不复杂，官网下载对应平台的安装包，Windows 一路默认下一步即可。装完打开命令行验证：

cpolar version

能打印出版本号就说明装好了。然后注册账号，登录它的 Web 管理界面，默认地址是：

http://127.0.0.1:9200

登录进去后你会看到隧道列表，默认可能有两条示例隧道。这里先不用管，后面我们按 OpenClaw 的实际端口来建。

有一点要提前说清楚：cpolar 免费版的公网地址是随机生成的，而且会定期变化。如果你只是临时用用，这没问题；但如果你希望地址固定、能存书签、能分享给朋友长期用，就需要后面配置二级子域名。这个我们放到第 5 节讲。

还有一个安全前提必须强调。OpenClaw 这类本地 AI 服务，往往带有文件读取、命令执行等能力，权限相当高。一旦穿透到公网，等于把这台机器的部分控制权暴露在互联网上。所以网关令牌、访问密码一定要设强，不要发到公开群组，也不要用弱口令。穿透工具本身提供的是加密隧道，但“门”开了之后，锁得你自己上。

环境准备的最后一步，确认 OpenClaw 本地能正常跑起来。在浏览器打开它的本地地址，通常是：

http://127.0.0.1:18789

能正常对话、能调用模型，说明本地这一环没问题。如果本地都调不通，先别急着穿透，先把 TaoToken 的 Base URL 和 Key 配好，确认模型能返回结果，再往下走。顺序对了，后面排错会省很多事。

3. 可复制的 cpolar 隧道与 OpenClaw 配置片段

这一节是整篇的核心，我会把 cpolar 隧道配置、OpenClaw 的来源白名单、以及 TaoToken 接入参数都写成可直接复制的片段。你照着改域名和端口就行。

先建 cpolar 隧道。进入http://127.0.0.1:9200的 Web 管理界面，点左侧“隧道管理”下的“隧道列表”，然后创建隧道。关键参数这样填：

隧道名称：openclaw 协议：http 本地地址：18789 地区：China Top 域名类型：随机域名（先用随机，后面再固定）

保存后，到“状态”菜单下的“在线隧道列表”，你会看到两条地址，一条 http、一条 https。记下 https 那条，形如：

https://xxxx.r1.cpolar.top

这个就是外网访问入口。但先别急着打开，因为 OpenClaw 默认不允许非本机来源访问，直接打开会报origin not allowed。需要把穿透域名加进白名单。

打开命令行，执行下面这条命令，注意把域名替换成你自己的：

openclaw config set gateway.controlUi.allowedOrigins "[\"https://xxxx.r1.cpolar.top\"]" --strict-json openclaw gateway restart

这两条命令的意思是：把穿透域名写进允许来源列表，然后重启网关让配置生效。--strict-json是告诉它按严格 JSON 解析，方括号和引号都不能少。很多人第一次配失败，就是因为引号转义没写对。

接下来配 TaoToken 的模型通道。OpenClaw 的模型配置一般在它的设置文件里，不同版本路径略有差异，常见的是在用户目录下的配置文件中。你需要写入的核心字段是 Base URL、API Key 和 Model ID。以 JSON 形式示意：

{ "model": { "baseUrl": "https://taotoken.net/api", "apiKey": "sk-你的Key", "modelId": "claude-sonnet-4-5" } }

如果你用的是环境变量方式，也可以这样写：

export TAOTOKEN_BASE_URL="https://taotoken.net/api" export TAOTOKEN_API_KEY="sk-你的Key" export TAOTOKEN_MODEL_ID="claude-sonnet-4-5"

配置改完，重启 OpenClaw 服务。到这里，网络通道和模型通道就都通了。为了让你对照更清楚，我把三件套再列一遍：

Base URL：https://taotoken.net/api API Key：sk-开头，控制台生成 Model ID：按需选择

这三样在 cpolar 穿透场景下尤其重要，因为外网访问时，OpenClaw 调用模型走的就是这条通道。如果 Key 失效或 Base URL 写错，界面能打开，但一问就报错，很容易误以为是穿透的问题。实际上穿透只负责“把界面送出去”，模型调用是另一条链路，排错时要分开看。

另外，如果你用的是 Claude Code 这类工具配合 OpenClaw，配置逻辑类似，也是把 Base URL 指向 TaoToken 的接口地址，Key 填控制台生成的，Model ID 按需选。区别只是配置文件的位置和字段名不同，核心三件套不变。

配置完成后，建议先在本机用穿透域名访问一次，确认白名单生效、界面能打开。本机验证通过，再换手机流量或外网环境测试，这样能把“配置问题”和“网络问题”分开定位。

4. 外网访问验证与成功结果确认

配置写完，最紧张的就是验证环节。这一步我们分三层来测：本机走穿透域名、外网走穿透域名、以及模型调用是否正常。三层都过，才算真正跑通。

第一层，本机验证。在浏览器打开你的 cpolar https 地址：

https://xxxx.r1.cpolar.top

如果之前白名单配对了，应该能看到 OpenClaw 的登录或概览界面。如果还是报origin not allowed，说明白名单没生效，回去检查命令里的域名是否和当前隧道地址完全一致，注意 http 和 https 要对应。

第二层，外网验证。把手机切换到移动数据，关掉 WiFi，用手机浏览器打开同一个地址。这一步是关键，因为它真正模拟了“人不在家”的场景。如果手机能打开界面，说明穿透通道是通的。

第三层，模型调用验证。在界面里输入一句话，比如“帮我写一个 Python 快速排序”，看是否能正常返回。如果界面能开但对话报错，常见原因是 TaoToken 的 Key 或 Base URL 配错。这时候去看 OpenClaw 的日志，通常会打印出具体的 HTTP 状态码。

成功的结果大概是这样：手机在外网点开链接，输入网关令牌，设备配对批准后，健康状态显示“正常”，然后你问它问题，它能正常回复。整个过程不需要你连回家里的 WiFi，也不需要远程桌面。

这里有个细节要注意：第一次从新设备访问时，OpenClaw 会要求“配对批准”。这是它的安全机制，防止陌生设备直接接入。你需要在跑 OpenClaw 的那台机器上执行：

openclaw devices list openclaw devices approve <requestId>

把<requestId>替换成列表里显示的请求 ID。批准之后，这台设备就被信任了，后续访问不用重复批准。

如果你用的是固定二级子域名，验证流程一样，只是地址从随机域名变成固定域名，比如https://openclaw.cpolar.top。固定域名配好后，建议把它加到手机主屏幕，用起来跟原生 App 差不多。

验证通过后，你可以做几件实用的事：把地址存进浏览器书签；在手机上添加主屏幕快捷方式；如果团队要用，把地址和令牌通过安全渠道分享。但再次提醒，令牌不要发公开群，不要截图发社交平台。

到这一步，你的 OpenClaw 就已经从“局域网里的本地 AI”变成“随时随地能访问的随身 AI”了。下面一节我们专门处理过程中最容易遇到的几个报错。

5. 常见报错排查：401、origin not allowed 与配对失败

穿透和接入过程中，报错基本集中在几个地方。我把最常见的几类整理出来，对照着查能省不少时间。

第一类，401 Unauthorized。这个通常出现在模型调用环节，说明 TaoToken 的 Key 有问题。可能原因有三个：Key 复制时多了空格或换行；Key 已失效或被删除；Base URL 写成了带路径的地址。排查方法：重新去控制台复制一次 Key，确认 Base URL 是https://taotoken.net/api，不要多加/v1之类的后缀。改完重启 OpenClaw。

第二类，origin not allowed。这个前面提过，是 OpenClaw 的来源白名单没放行穿透域名。报错原文类似：

origin not allowed (open the Control UI from the gateway host or allow it in gateway.controlUi.allowedOrigins)

解决办法就是执行白名单配置命令，把当前穿透域名加进去，然后重启网关。注意域名要和你实际访问的地址完全一致，https 和 http 不能混。如果你换了隧道地址，白名单也要跟着更新。

第三类，local proxy failed或连接超时。这类多半是 cpolar 隧道没起来，或者本地 OpenClaw 服务没在跑。先确认本地http://127.0.0.1:18789能打开，再看 cpolar 在线隧道列表里地址是否在线。如果隧道显示离线，重启 cpolar 服务。

第四类，reading choices之类的解析错误。这通常出现在模型返回格式异常时，可能是 Model ID 填错，或者通道返回了非预期结构。检查 Model ID 是否为你实际可用的模型标识，必要时换一个模型试试。

第五类，设备配对一直不成功。执行openclaw devices list看不到请求，或者批准后仍提示未授权。这种情况先确认你操作的是同一台跑 OpenClaw 的机器，然后检查网关令牌是否填对。令牌在本地界面的“概览”菜单里可以复制，注意不要复制到多余字符。

第六类，OAuth 相关报错。如果你在接入过程中用了需要 OAuth 的通道，可能会遇到回调失败。这类问题一般和回调地址配置有关，确认回调地址与你在通道侧登记的一致。如果用的是 TaoToken 的 Key 方式，通常不涉及 OAuth，直接填 Key 即可。

为了让你排错更快，我把关键检查点列成对照：

排查时记住一个原则：先分层，再定位。网络层看 cpolar，访问控制层看白名单和令牌，模型层看 TaoToken 三件套。三层分开查，比一股脑改配置高效得多。

6. 固定域名与长期使用的接入建议

随机域名用久了确实烦，每变一次就要重新配白名单、重新存书签。如果你打算长期用，建议把二级子域名固定下来。cpolar 后台有“预留”功能，进去选一个二级子域名名称，比如openclaw，保留后回到隧道编辑页，把域名类型改成“二级子域名”，填入刚保留的名称，更新即可。

更新后，你的地址就变成固定形式，比如https://openclaw.cpolar.top。这时候记得回到 OpenClaw 重新配一次白名单，把新域名加进去，再重启网关。之后这个地址就不会再变了，可以放心存书签、加主屏幕。

长期使用还有几个建议。一是定期轮换 TaoToken 的 Key，尤其是怀疑泄露时，去控制台重新生成，然后更新 OpenClaw 配置。二是给 OpenClaw 的网关令牌设强密码，不要用默认值。三是如果只是自己用，没必要把地址公开，分享给朋友时也走私密渠道。

如果你后面要接更多工具，比如 Claude Code 或 Cline 这类编码助手，TaoToken 的统一通道优势会更明显——Base URL、Key、Model ID 三件套配一次，多个工具共用，换模型时只改一处。对经常折腾本地 AI 的人来说，这种集中管理能省下大量重复配置的时间。

需要看模型对话效果的，可以去https://taotoken.net/chat?utm_source=taotoken_aicg_blog_end&utm_content=model_chat&utm_campaign=rewrite试一下；长期跑编码或 Agent 任务的，可以了解https://taotoken.net/coding-plan?utm_source=taotoken_aicg_blog_end&utm_content=coding_plan&utm_campaign=rewrite；接入文档在https://taotoken.net/doc?utm_source=taotoken_aicg_blog_end&utm_content=doc&utm_campaign=rewrite，配置字段有疑问时对照着看最稳妥。

把域名固定、Key 管好、白名单配对，你的 OpenClaw 就算真正“解放”了。出门在外，掏出手机点开书签，家里的 AI 随时待命，这种感觉比只能坐在书房里用，实在好太多。