OpenClaw GatewayをTailscaleで安全に公開する方法

リモート環境からダッシュボードにアクセスしたいけれど、公開設定やセキュリティ対策に手間取ってしまうことはよくあります。SSL証明書の準備やファイアウォールの設定を考えるだけで、本来の作業が進まなくなるのは避けたいものです。

OpenClawでは、Tailscaleを利用してGatewayダッシュボードを簡単に、そして安全に公開できます。複雑なネットワーク設定を自分で行う必要はありません。

What You’ll Need

• tailscale CLI（インストール済みでログインしていること）
• TailnetでHTTPSが有効であること
• MagicDNSが有効であること（Funnel利用時）
• Tailscale v1.38.3以上（Funnel利用時）

Quick Start

最短でダッシュボードを公開する手順は以下の通りです。

1. CLIから起動する

一番手軽なのは、起動時にフラグを指定する方法です。Tailnet内だけで公開する場合は serve を、インターネットに公開する場合は funnel を使用します。

openclaw gateway --tailscale serve
# または
openclaw gateway --tailscale funnel --auth password

2. 設定ファイルで構成する

Tailnet内でのみ公開（Serve）し、Gatewayを 127.0.0.1 にバインドしたままにするには、以下の設定を記述します。

{
  gateway: {
    bind: "loopback",
    tailscale: { mode: "serve" },
  },
}

設定後、https://<magicdns>/ にアクセスするだけでダッシュボードが利用可能です。

認証のベストプラクティス

tailscale.mode = "serve" かつ gateway.auth.allowTailscale が true の場合、Tailscaleのアイデンティティヘッダー（tailscale-user-login）を利用した認証が可能です。OpenClawは内部で tailscale whois を実行して身元を検証するため、トークンやパスワードを入力せずにログインできます。

パブリックなインターネットに公開する funnel モードを使用する場合は、安全のために必ず password モードを選択してください。

{
  gateway: {
    bind: "loopback",
    tailscale: { mode: "funnel" },
    auth: { mode: "password", password: "replace-me" },
  },
}

Troubleshooting

• Funnelが起動しない: tailscale.mode: "funnel" を使用する場合、認証モードを password に設定する必要があります。これは意図しない公開を防ぐための制限です。
• 127.0.0.1でアクセスできない: gateway.bind: "tailnet" に設定している場合、GatewayはTailnetのIPに直接バインドされます。このモードではloopback経由の接続はできません。
• macOSでFunnelが動作しない: macOSでFunnelを利用するには、オープンソース版のTailscaleアプリを使用する必要があります。
• 終了後も設定が残る: OpenClawの終了時に自動で設定を解除したい場合は、gateway.tailscale.resetOnExit を有効にしてください。

AI Setup Assistant

What’s Next

• Tailscale Serveの概要: https://tailscale.com/kb/1312/serve
• tailscale serve コマンド: https://tailscale.com/kb/1242/tailscale-serve
• Tailscale Funnelの概要: https://tailscale.com/kb/1223/tailscale-funnel
• tailscale funnel コマンド: https://tailscale.com/kb/1311/tailscale-funnel