Fly.io

Mục tiêu: OpenClaw Gateway chạy trên một máy Fly.io với lưu trữ bền vững, HTTPS tự động và quyền truy cập Discord/kênh.

Bạn cần chuẩn bị

• Đã cài đặt flyctl CLI
• Tài khoản Fly.io (gói miễn phí dùng được)
• Xác thực mô hình: khóa API cho nhà cung cấp mô hình bạn chọn
• Thông tin xác thực kênh: token bot Discord, token Telegram, v.v.

Lộ trình nhanh cho người mới

1. Clone repo → tùy chỉnh fly.toml
2. Tạo app + volume → đặt secret
3. Triển khai bằng fly deploy
4. SSH vào để tạo cấu hình hoặc dùng Giao diện điều khiển

# Clone the repogit clone https://github.com/openclaw/openclaw.gitcd openclaw # Create a new Fly app (pick your own name)fly apps create my-openclaw # Create a persistent volume (1GB is usually enough)fly volumes create openclaw_data --size 1 --region iad

app = "my-openclaw"  # Your app nameprimary_region = "iad" [build]  dockerfile = "Dockerfile" [env]  NODE_ENV = "production"  OPENCLAW_PREFER_PNPM = "1"  OPENCLAW_STATE_DIR = "/data"  NODE_OPTIONS = "--max-old-space-size=1536" [processes]  app = "node dist/index.js gateway --allow-unconfigured --port 3000 --bind lan" [http_service]  internal_port = 3000  force_https = true  auto_stop_machines = false  auto_start_machines = true  min_machines_running = 1  processes = ["app"] [[vm]]  size = "shared-cpu-2x"  memory = "2048mb" [mounts]  source = "openclaw_data"  destination = "/data"

# Required: Gateway token (for non-loopback binding)fly secrets set OPENCLAW_GATEWAY_TOKEN=$(openssl rand -hex 32) # Model provider API keysfly secrets set ANTHROPIC_API_KEY=example-anthropic-key-not-real # Optional: Other providersfly secrets set OPENAI_API_KEY=example-openai-key-not-realfly secrets set GOOGLE_API_KEY=... # Channel tokensfly secrets set DISCORD_BOT_TOKEN=example-discord-bot-token

fly deploy

fly statusfly logs

[gateway] listening on ws://0.0.0.0:3000 (PID xxx)[discord] logged in to discord as xxx

fly ssh console

mkdir -p /datacat > /data/openclaw.json << 'EOF'{  "agents": {    "defaults": {      "model": {        "primary": "anthropic/claude-opus-4-6",        "fallbacks": ["anthropic/claude-sonnet-4-6", "openai/gpt-5.4"]      },      "maxConcurrent": 4    },    "list": [      {        "id": "main",        "default": true      }    ]  },  "auth": {    "profiles": {      "anthropic:default": { "mode": "token", "provider": "anthropic" },      "openai:default": { "mode": "token", "provider": "openai" }    }  },  "bindings": [    {      "agentId": "main",      "match": { "channel": "discord" }    }  ],  "channels": {    "discord": {      "enabled": true,      "groupPolicy": "allowlist",      "guilds": {        "YOUR_GUILD_ID": {          "channels": { "general": { "allow": true } },          "requireMention": false        }      }    }  },  "gateway": {    "mode": "local",    "bind": "auto",    "controlUi": {      "allowedOrigins": [        "https://my-openclaw.fly.dev",        "http://localhost:3000",        "http://127.0.0.1:3000"      ]    }  },  "meta": {}}EOF

exitfly machine restart <machine-id>

fly open

fly logs              # Live logsfly logs --no-tail    # Recent logs

fly ssh console

Khắc phục sự cố

"App is not listening on expected address"

Gateway đang bind vào 127.0.0.1 thay vì 0.0.0.0.

Cách khắc phục: Thêm --bind lan vào lệnh quy trình trong fly.toml.

Health check thất bại / bị từ chối kết nối

Fly không thể truy cập Gateway trên cổng đã cấu hình.

Cách khắc phục: Đảm bảo internal_port khớp với cổng Gateway (đặt --port 3000 hoặc OPENCLAW_GATEWAY_PORT=3000).

OOM / Sự cố bộ nhớ

Container liên tục khởi động lại hoặc bị kill. Dấu hiệu: SIGABRT, v8::internal::Runtime_AllocateInYoungGeneration, hoặc khởi động lại im lặng.

Cách khắc phục: Tăng bộ nhớ trong fly.toml:

[[vm]]  memory = "2048mb"

Hoặc cập nhật một máy hiện có:

fly machine update <machine-id> --vm-memory 2048 -y

Ghi chú: 512MB quá nhỏ. 1GB có thể hoạt động nhưng có thể OOM khi tải cao hoặc khi ghi log chi tiết. Khuyến nghị 2GB.

Sự cố khóa Gateway

Gateway từ chối khởi động với lỗi "already running".

Điều này xảy ra khi container khởi động lại nhưng tệp khóa PID vẫn còn trên volume.

Cách khắc phục: Xóa tệp khóa:

fly ssh console --command "rm -f /data/gateway.*.lock"fly machine restart <machine-id>

Tệp khóa nằm tại /data/gateway.*.lock (không nằm trong thư mục con).

Không đọc được cấu hình

--allow-unconfigured chỉ bỏ qua guard khởi động. Nó không tạo hoặc sửa /data/openclaw.json, nên hãy đảm bảo cấu hình thật của bạn tồn tại và bao gồm gateway.mode="local" khi bạn muốn khởi động Gateway cục bộ bình thường.

Xác minh cấu hình tồn tại:

fly ssh console --command "cat /data/openclaw.json"

Ghi cấu hình qua SSH

Lệnh fly ssh console -C không hỗ trợ chuyển hướng shell. Để ghi tệp cấu hình:

# Use echo + tee (pipe from local to remote)echo '{"your":"config"}' | fly ssh console -C "tee /data/openclaw.json" # Or use sftpfly sftp shell> put /local/path/config.json /data/openclaw.json

Ghi chú: fly sftp có thể thất bại nếu tệp đã tồn tại. Hãy xóa trước:

fly ssh console --command "rm /data/openclaw.json"

Trạng thái không được lưu bền vững

Nếu bạn mất hồ sơ xác thực, trạng thái kênh/nhà cung cấp, hoặc phiên sau khi khởi động lại, thư mục trạng thái đang ghi vào hệ thống tệp của container.

Cách khắc phục: Đảm bảo OPENCLAW_STATE_DIR=/data được đặt trong fly.toml và triển khai lại.

Cập nhật

# Pull latest changesgit pull # Redeployfly deploy # Check healthfly statusfly logs

Cập nhật lệnh máy

Nếu bạn cần thay đổi lệnh khởi động mà không triển khai lại toàn bộ:

# Get machine IDfly machines list # Update commandfly machine update <machine-id> --command "node dist/index.js gateway --port 3000 --bind lan" -y # Or with memory increasefly machine update <machine-id> --vm-memory 2048 --command "node dist/index.js gateway --port 3000 --bind lan" -y

Ghi chú: Sau fly deploy, lệnh máy có thể được đặt lại theo nội dung trong fly.toml. Nếu bạn đã thay đổi thủ công, hãy áp dụng lại sau khi deploy.

Triển khai riêng tư (được gia cố)

Theo mặc định, Fly cấp phát IP công khai, khiến Gateway của bạn có thể truy cập tại https://your-app.fly.dev. Điều này tiện lợi nhưng đồng nghĩa triển khai của bạn có thể bị các trình quét internet phát hiện (Shodan, Censys, v.v.).

Để triển khai được gia cố mà không lộ công khai, hãy dùng template riêng tư.

Khi nào dùng triển khai riêng tư

• Bạn chỉ thực hiện cuộc gọi/tin nhắn đi ra (không có Webhook đi vào)
• Bạn dùng tunnel ngrok hoặc Tailscale cho mọi callback Webhook
• Bạn truy cập Gateway qua SSH, proxy, hoặc WireGuard thay vì trình duyệt
• Bạn muốn triển khai ẩn khỏi các trình quét internet

Thiết lập

Dùng deploy/fly.private.toml thay vì cấu hình tiêu chuẩn:

# Deploy with private configfly deploy -c deploy/fly.private.toml

Hoặc chuyển đổi một triển khai hiện có:

# List current IPsfly ips list -a my-openclaw # Release public IPsfly ips release <public-ipv4> -a my-openclawfly ips release <public-ipv6> -a my-openclaw # Switch to private config so future deploys don't re-allocate public IPs# (remove [http_service] or deploy with the private template)fly deploy -c deploy/fly.private.toml # Allocate private-only IPv6fly ips allocate-v6 --private -a my-openclaw

Sau đó, fly ips list chỉ nên hiển thị IP loại private:

VERSION  IP                   TYPE             REGIONv6       fdaa:x:x:x:x::x      private          global

Truy cập triển khai riêng tư

Vì không có URL công khai, hãy dùng một trong các phương pháp sau:

Tùy chọn 1: Proxy cục bộ (đơn giản nhất)

# Forward local port 3000 to the appfly proxy 3000:3000 -a my-openclaw # Then open http://localhost:3000 in browser

Tùy chọn 2: WireGuard VPN

# Create WireGuard config (one-time)fly wireguard create # Import to WireGuard client, then access via internal IPv6# Example: http://[fdaa:x:x:x:x::x]:3000

Tùy chọn 3: Chỉ SSH

fly ssh console -a my-openclaw

Webhook với triển khai riêng tư

Nếu bạn cần callback Webhook (Twilio, Telnyx, v.v.) mà không phơi bày công khai:

1. Đường hầm ngrok - Chạy ngrok bên trong container hoặc làm sidecar
2. Tailscale Funnel - Phơi bày các đường dẫn cụ thể qua Tailscale
3. Chỉ gửi ra ngoài - Một số nhà cung cấp (Twilio) hoạt động tốt cho cuộc gọi đi mà không cần Webhook

Ví dụ cấu hình cuộc gọi thoại với ngrok:

{  plugins: {    entries: {      "voice-call": {        enabled: true,        config: {          provider: "twilio",          tunnel: { provider: "ngrok" },          webhookSecurity: {            allowedHosts: ["example.ngrok.app"],          },        },      },    },  },}

Đường hầm ngrok chạy bên trong container và cung cấp một URL Webhook công khai mà không phơi bày chính ứng dụng Fly. Đặt webhookSecurity.allowedHosts thành tên máy chủ đường hầm công khai để chấp nhận các header máy chủ được chuyển tiếp.

Lợi ích bảo mật

Ghi chú

• Fly.io dùng kiến trúc x86 (không phải ARM)
• Dockerfile tương thích với cả hai kiến trúc
• Để onboarding WhatsApp/Telegram, dùng fly ssh console
• Dữ liệu bền vững nằm trên volume tại /data
• Signal yêu cầu Java + signal-cli; dùng image tùy chỉnh và giữ bộ nhớ ở mức 2GB+.

Chi phí

Với cấu hình được khuyến nghị (shared-cpu-2x, RAM 2GB):

• Khoảng $10-15/tháng tùy mức sử dụng
• Gói miễn phí bao gồm một phần hạn mức

Xem giá Fly.io để biết chi tiết.

Bước tiếp theo

• Thiết lập các kênh nhắn tin: Kênh
• Cấu hình Gateway: Cấu hình Gateway
• Luôn cập nhật OpenClaw: Cập nhật

Liên quan

• Tổng quan cài đặt
• Hetzner
• Docker
• Lưu trữ VPS