Betroffene: Sie betreiben per Docker Compose Gateway plus CLI- oder agentenbezogene Container; Gateway wirkt in Logs gesund, aber Unter-Sessions melden gateway closed (1008): pairing required, oder RPC ist healthy und Pairing scheitert trotzdem. Kernaussage: Das löst man selten durch „Image noch einmal neu installieren“—es ist meist Kombination aus Bind-Fläche, Token, vertrauenswürdigen Proxy-CIDRs (trustedProxies) und URLs zwischen Containern; dieser Text liefert eine Symptommatrix, Compose-Snippet, Sechs-Schritte-Runbook und drei KPIs. Abgrenzung: parallel zu offiziellem docker-setup.sh + GHCR, Pairing und Token und Docker-Netzwerk-Triage.
Das OpenClaw-Gateway hält Langläufer-Verbindungen und Routing; wenn CLI oder „Unter-Session“-/Subagent-Tools per WebSocket/HTTP mit dem Gateway sprechen, reicht ein laufender Prozess nicht—der Netzwerk-Caller muss aus Sicht des Gateways vertrauenswürdig sein und Pairing gültig sein. Docker isoliert jeden Dienst in einem eigenen Netzwerk-Namespace: Schreiben Sie in einem CLI-Container http://127.0.0.1:18789, trifft der Traffic nur den eigenen Container, nicht Host oder andere Dienste.
http://openclaw-gateway:18789 (Beispiel).172.16.0.0/12, 10.0.0.0/8, Ihr Custom-CIDR) deklariert werden, damit Client-Identität korrekt bewertet wird.Im Gegensatz zum Drei-OS-Installationsüberblick geht es bei Compose weniger um „welches OS“, sondern welches Netz in welchem Container als vertrauenswürdig gilt.
Bei Reproduktion drei Log-Markierungen parallel sichern: Gateway-Startzeilen, Subagent-Stack und Subnet des attachable-Netzes aus docker inspect—viele 1008-Fälle landen nach Vergleich auf „vertrauenswürdiger Bereich nicht deklariert“, nicht auf Modell oder Kanal.
| Symptom-Snapshot | Zuerst prüfen (Reihenfolge) | Häufige Ursache |
|---|---|---|
| Container A erreicht 127.0.0.1:18789 nicht | Zuerst Dienstname-URL, dann published Ports und Listen-Adresse | Falsche localhost-Semantik |
| RPC healthy, sessions_spawn liefert 1008 | Pairing-Liste → trustedProxies → Bind-Tripel | Subagent-Pfad als extern/ungepaart gewertet |
| Logs mit trusted proxy / pairing | Compose-CIDR mit gateway.auth angleichen | Bereich fehlt in der Trust-Menge |
| Nur nach Versions-Upgrade | Alte vs. neue Standard-bind/auth und migriertes .openclaw-Volume vergleichen | Strengere Defaults oder abgelaufenes Pairing |
Hinweis: Nutzen Sie den offiziellen Pfad docker-setup.sh, prüfen Sie Dienstnamen und Volumes dennoch aus dieser Netzwerk-Vertrags-Sicht—siehe GHCR- und Control-UI-Runbook.
| gateway.bind (Konzept) | Geeignet für | Reibung mit Compose |
|---|---|---|
| loopback | Ein-Container-All-in-one oder nur Host-Zugriff | Andere Service-Container können es nicht als lokale Loopback behandeln |
| lan / benutzerdefiniertes Listen | Mehrere Dienste, RPC zwischen Containern | Token/Auth und exponierte Fläche streng begrenzen |
| trusted reverse proxy | Nginx/Caddy davor | Muss zur Reverse-Proxy-Checkliste für Downstream-Quellen passen |
Die folgende Tabelle ist didaktisch: ermitteln Sie das reale Subnetz mit docker network inspect, nicht blind kopieren.
| Netztyp | Beispiel-CIDR | Ihre Aufgabe |
|---|---|---|
| Standard-Docker-Bridge | 172.17.0.0/16 (umgebungsabhängig) | Prüfen, ob Quell-IPs des Gateways in diesem Bereich liegen |
| Compose-Custom-Netz | z. B. 172.18.0.0/16–172.30.x.x | Gesamtes Subnetz in trustedProxies (nicht einzelne Container-IPs) |
| overlay / swarm | vom Orchestrator vergeben | Ebenfalls Subnetze statt flüchtiger Pod-IP-Listen |
OPENCLAW_GATEWAY_URL=http://openclaw-gateway:18789 (Name wie im Compose-Dienst).OPENCLAW_GATEWAY_TOKEN beidseitig identisch; bei Datei-Token Mount-Permissions und Zugriffskontrolle beachten (DSGVO/Datenschutz, wenn Inhalte personenbezogen sein könnten).openclaw gateway status → openclaw doctor → Subagent reproduzieren und Logs nach 1008 / pairing durchsuchen.# Beispiel-Snippet (Dienstnamen und Platzhalter — vor Produktion ersetzen)
services:
openclaw-gateway:
environment:
- OPENCLAW_CONFIG_DIR=/config
- OPENCLAW_GATEWAY_TOKEN=${OPENCLAW_GATEWAY_TOKEN}
volumes:
- ./config:/config
networks: [oc-net]
openclaw-cli:
environment:
- OPENCLAW_CONFIG_DIR=/config
- OPENCLAW_GATEWAY_URL=http://openclaw-gateway:18789
- OPENCLAW_GATEWAY_TOKEN=${OPENCLAW_GATEWAY_TOKEN}
volumes:
- ./config:/config
networks: [oc-net]
networks:
oc-net: { driver: bridge }
gateway.auth.token-Fingerprint oder Env-Hash zwischen Containern vergleichen; Release blockieren bei Abweichung.Diese KPIs sind ingenieurtechnische Observability-Vorschläge, kein Upstream-SLA.
„Image läuft“ reicht nicht: Subagents und Session-Tools brauchen ein stabiles Gateway, vorhersehbare Netzwerk-Identität und konsistente Konfig-Volumes. Einzel-Container-docker run auf dem Laptop unterscheidet sich in der Fehlerlage von festem Compose und persistenten Volumes auf dediziertem Remote-Mac—letzteres entspricht unbeaufsichtigten und geplanten Jobs viel näher.
Ephemere VPS oder geteilte Desktops mögen Demos ermöglichen, oft fehlt aber eine einheitliche Disk- und Netz-Baseline; wenn Gateway, Reverse Proxy und Automatisierung in derselben Vertrauenszone skalieren sollen, sind mehrregionale Apple-Silicon-Hosts mit Monats-/Quartalsmodellen oft sinnvoller als wiederholtes Basteln temporärer Docker-Hosts. MACCOME bietet physikalische Isolation und Sechs-Regionen-Standorte zum Schichten von „immer-an-Gateway“ und Build/Signing. Mietpreise und Hilfe-Center lesen, dann Umgebungsvariablen mit diesem Runbook verdrahten.
Rollout: zuerst die Sechs-Schritte-Schleife in einem Compose-Projekt schließen, dann bewerten, ob Gateway und andere Lasten auf separate Remote-Knoten gehören.
FAQ
Soll ich bei Code 1008 sofort bind auf LAN ändern?
Zuerst Tabelle 1: oft Dienstname-URL oder trustedProxies, nicht blind breiter hören. Bei größerer Exposition Token und Firewall gemeinsam anpassen. Mehr zu Pairing: Pairing- und Token-Checkliste.
Kann curl auf 127.0.0.1:18789 auf dem Host die Container-Prüfung ersetzen?
Host-seitig für Liveness in Ordnung, kein Ersatz für Erreichbarkeit vom Container per Gateway-Dienstname—Namespaces sind unterschiedlich. Hilfe: Mac mini Hilfe & FAQ.
Doppelt sich das mit dem Docker-Netzwerk-Triage-Artikel?
Netzwerk-Triage behandelt Compose-Namensräume und CLI-Erreichbarkeit; der offizielle Docker-Artikel Image-Pfade. Dieser Text verbindet Subagent-Pairing mit trustedProxies. Weiterführend: MCP- und Skills-Verifikation.