“求助部署完OpenClaw打不开网页”——这个帖子标题我太熟了。做个人智能体部署这一块OpenClaw 是我见过最容易在“最后一步”翻车的项目之一安装脚本刷了一整屏日志最后给你一个 Success你兴冲冲打开浏览器结果只剩三种结局连接被拒绝、页面白屏、或者一个不明所以的 WSL2 报错。这篇就把我踩过的坑和完整排查思路捋一遍从 Windows 到云服务器、从进程到端口、从模型服务到浏览器缓存按顺序讲清楚。刚把 OpenClaw 部署到一半卡住的同学可以直接对号入座部署完能跑但外网访问不了的老哥也能在这里找到答案。1. 先把锅掰开网页打不开的三种典型表现同样是“打不开网页”背后的原因可能完全相反。不先确认现象就乱改配置是最浪费时间的操作。我一般会让求助者先回答一个问题浏览器里到底显示了什么这个细节决定了排查方向。1.1 浏览器直接拒绝ERR_CONNECTION_REFUSED 或 ERR_CONNECTION_TIMED_OUT这是最经典的一种。你输入http://服务器IP:8080或者http://localhost:8080浏览器直接甩给你一个“无法访问此网站”的页面错误码要么是ERR_CONNECTION_REFUSED要么是ERR_CONNECTION_TIMED_OUT。这两个错误码虽然看起来很像但含义完全不同ERR_CONNECTION_REFUSED请求成功到达了目标机器但目标端口上没有程序在监听或者监听地址不是你可以访问的那个地址。相当于你敲了门但屋里没人应。ERR_CONNECTION_TIMED_OUT请求发出去了但压根没收到响应。通常意味着数据包在半路被防火墙、安全组或者网络策略丢弃了。相当于你敲门但信号根本传不到屋里。如果是本地部署Windows 或 Mac最常见的是REFUSED也就是服务没起来或者监听地址不对。如果是云服务器TIMED_OUT更常见十有八九是安全组端口没放行。1.2 页面能打开但一直转圈或白屏这种更隐蔽。HTTP 请求是通的页面框架也加载出来了但前端拿不到后端数据导致页面空白或者一直转圈。我见过最典型的场景OpenClaw 部署好了网页能打开但对话框区域永远在 loading或者模型列表是空的。这时候问题往往不在 OpenClaw 本身而在它依赖的下游服务比如 Ollama 本地大模型服务没启动、模型没拉取、或者 API 地址配置错误。一个是“房子盖好了但水电没通”另一个是“门牌号写错了”。1.3 部署过程中直接报警WSL2 环境无法安全验证这部分主要针对 Windows 用户。OpenClaw 的官方安装脚本在 Windows 上要求走 WSL2 环境如果部署过程中看到“无法安全验证 WSL2 环境”之类的提示并让你“在 PowerShell 中运行 wsl --status”那说明安装脚本在检查 WSL2 环境时就已经被卡住了网页自然不可能起来。很多人看到这个报错就懵了以为是 OpenClaw 本身的问题其实这就是个环境检测失败。Windows 上部署 OpenClaw 的坑80% 都集中在 WSL2 上。为了方便定位我把三种表现和对应的优先级整理成了下面这张表现象最可能原因排查优先级ERR_CONNECTION_REFUSED服务未启动 / 监听地址错误 / 端口被占用1. 进程 2. 端口 3. 监听地址ERR_CONNECTION_TIMED_OUT安全组未放行 / 防火墙拦截 / 网络不通1. 安全组 2. 防火墙 3. 本机 curl页面白屏 / 一直转圈Ollama 等依赖服务异常 / 模型未拉取 / API 配置错误1. 依赖服务 2. 日志 3. 模型列表WSL2 环境无法验证WSL 版本过旧 / 虚拟化功能未启用1. wsl --status 2. WSL 升级2. Windows 部署打不开网页先拷问 WSL2 环境Windows 上部署 OpenClaw 的用户遇到的报错往往不是网页层级的而是环境层级的。如果安装脚本连 WSL2 环境都验证不过去后面再怎么折腾端口、防火墙都是白搭。2.1 为什么 WSL2 是 OpenClaw 在 Windows 上的命门OpenClaw 官方脚本在 Windows 上之所以要求 WSL2而不是直接用 Windows 原生环境是因为它的部署脚本里有大量 Linux 生态的依赖包括 bash 脚本、Linux 网络栈、内核级特性。WSL2 本质上是一个轻量级 Linux 虚拟机部署脚本跑在里头就像你在 Ubuntu 上部署一样。生活化一点理解WSL2 是 OpenClaw 在 Windows 上“临时租”的一间 Linux 包间。脚本一进门就先检查这间包间合不合格如果查到 WSL2 没启用、版本太老、发行版还是 WSL1直接拒绝往下走。这时候网页当然是打不开的因为服务压根没被装起来。我第一次部署 OpenClaw 时也踩过这个坑。安装脚本跑了一半突然冒出一段红字大意是“无法安全验证 WSL2 环境请在 PowerShell 中运行 wsl --status”。我当时第一反应是脚本有 bug后来才明白是我这台机器上的 WSL 还是老古董版本根本支撑不了新部署流程。2.2 用 wsl --status 做一次环境体检遇到这个报错老老实实按提示来打开 PowerShell建议右键选择“以管理员身份运行”执行wsl --status正常情况下的输出会包含“默认发行版”“默认版本”以及 WSL 内核版本之类的信息。如果提示找不到命令或者输出内容停留在旧版格式说明你的 WSL 版本太旧了。我还建议顺手再跑一条wsl --version新版 WSL 会返回一串版本号信息。如果这条命令直接报错那基本可以确定你用的是 Windows 内置的老版 WSL 组件而不是应用商店版的新 WSL。为什么强调用管理员身份运行因为后续的wsl --update和虚拟化平台状态检查可能涉及系统组件更新普通权限下容易失败而且有些环境变量的读取也会不一致。2.3 WSL 升级与发行版还原的正确姿势确定 WSL 版本过旧之后升级命令很简单wsl --update升级完成后务必执行wsl --shutdown这一步很多人会漏。WSL 2 的内核更新后需要把正在运行的 WSL 实例完全停掉新的内核才能生效。不做这一步你很有可能遇到“明明升级成功了但重跑脚本还是报同样错误”的诡异情况。再进一步检查一下你的发行版状态wsl --list --verbose输出结果里有一个VERSION列确保你的发行版是2。如果显示是1执行wsl --set-version Ubuntu 2把发行版从 WSL1 转换为 WSL2。这一步可能需要一两分钟期间会提示你输入 Linux 用户名密码之类的信息。这里有个很容易被忽略的坑有些人的 Windows 是从虚拟机快照或者旧系统直接迁移过来的“适用于 Linux 的 Windows 子系统”和“虚拟机平台”两个 Windows 功能压根没开启。这种情况下即使 WSL 命令能跑也可能在转换版本或者启动时失败。检查方式是# 查看两个关键 Windows 功能是否启用 Get-WindowsOptionalFeature -Online -FeatureName Microsoft-Windows-Subsystem-Linux Get-WindowsOptionalFeature -Online -FeatureName VirtualMachinePlatform如果状态不是Enabled需要启用后重启系统。这是我在排查过程中遇到过的最隐蔽的坑——WSL 状态看起来一切正常但功能组件缺失重装 WSL 都没用。2.4 Windows 防火墙和浏览器干扰排查WSL2 环境搞定、OpenClaw 服务起来了但网页还是打不开这时候就要看 Windows 防火墙的颜色了。WSL2 的网络模式是 NATWindows 宿主和 WSL2 实例之间通过虚拟网卡通信。如果 Windows 防火墙拦截了访问端口的数据包你在 Windows 浏览器里访问localhost:端口就会卡住。比较常见的现象是 curl 命令能通但浏览器打不开这通常就是防火墙的锅。排查方式很简单在 Windows 安全中心的防火墙设置里找到“允许应用通过防火墙”把 OpenClaw 对应的进程或者端口加进去。如果只是想快速验证是不是防火墙的问题可以直接临时关闭防火墙试一下确认后再放行端口。还有一个非常刁钻的干扰源浏览器开着的系统代理或者抓包调试工具。有些同学电脑上常驻抓包工具、网络优化软件之类的这类工具会拦截本机回环地址的流量导致localhost访问异常。我自己的习惯是遇到怪异问题先用无痕窗口试一次再去系统代理设置里把代理关掉重试。被这两个因素坑过的次数远比想象中多。3. 云服务器部署打不开网页八成是端口和监听地址没对齐Windows 本地部署搞定了换到云服务器上又会冒出一批新问题。最典型的是在服务器上用curl访问localhost:8080一切正常但用浏览器访问公网地址就是不通。这种问题看着玄乎其实原因非常固定。3.1 本地能开、外网打不开先查安全组云服务器的访问链路比本地多一道关卡安全组。安全组是云厂商在虚拟机外层的防火墙规则它决定哪些 IP 可以访问你的实例。很多人在服务器内部把防火墙关了却发现外网还是不通就是因为安全组根本没放行端口。以阿里云为例需要在 ECS 控制台找到“安全组”添加入方向规则协议类型选 TCP端口范围填 OpenClaw 部署时看到的端口通常是 8080授权对象填 0.0.0.0/0表示允许所有 IP 访问不同云厂商的界面名词不太一样。有的叫“安全组”有的在轻量服务器里叫“防火墙”腾讯云、华为云也都各有叫法但逻辑是一样的入方向规则里放行对应端口。修改安全组通常立即生效不需要重启服务器。做完这一步再刷新浏览器大概率就能进去了。这里分享一个排查顺序上的经验不要一上来就怀疑 OpenClaw 配置。外网访问不通永远先查安全组再查服务器内部防火墙最后才查服务本身。因为你本地能访问说明服务本身大概率没毛病卡住的只可能是网络链路。3.2 从服务器自测服务的真实状态ss、curl 双管齐下安全组放行了但还是不通接下来就要从服务器内部开始自测判断服务到底有没有正常监听。先看端口监听情况ss -tlnp | grep 8080LISTEN 0 511 0.0.0.0:8080 0.0.0.0:* users:((node,pid1314,fd20))这个输出里的0.0.0.0:8080表示服务在所有网卡上都监听了这是正确的状态。如果看到的是127.0.0.1:8080那就说明服务只在本机回环地址上监听外网请求根本进不来。然后用 curl 从本机发起请求curl -I http://127.0.0.1:8080能返回 HTTP 状态码说明服务本体没问题。接着再试探公网 IPcurl -I http://你的公网IP:8080如果本机能通、公网 IP 不通问题基本锁定在安全组或者服务器防火墙。如果公网 IP 能通但浏览器打不开那就要检查浏览器所在网络环境是否屏蔽了该端口——某些网络环境下非 80/443 端口会被运营商或路由器拦截。3.3 让服务真正对外可见监听 0.0.0.0 而不是 127.0.0.1很多部署教程默认跑起来就完事了但 OpenClaw 这类服务在默认配置下可能只监听127.0.0.1。这个配置在本地没问题但放到云服务器上就意味着只有本机能访问外网一律拒绝。怎么改取决于你的部署方式如果是直接用进程跑找到启动命令或环境变量把监听地址改成0.0.0.0如果是 Docker 部署检查docker run的-p参数-p 8080:8080表示宿主机的所有网卡都监听 8080正确-p 127.0.0.1:8080:8080表示只监听本机回环地址外网不通的原因就找到了。容器场景还有个容易忽略的细节容器内部的服务监听地址也要是0.0.0.0。假如容器内服务只监听127.0.0.1即使宿主机映射了端口外部请求依然进不到容器内部。3.4 域名和反向代理场景下的额外检查项如果你给 OpenClaw 配了域名和 Nginx 反向代理又多了一层的排查点。Nginx 配置里最常见的坑是proxy_pass写错server { listen 80; server_name your-domain.com; location / { proxy_pass http://127.0.0.1:8080; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; } }这里proxy_pass的端口必须和 OpenClaw 实际监听的端口一致。如果 OpenClaw 改过端口或者 Docker 映射到宿主机的端口跟容器内端口不一样这里就会调不通。另外要注意 WebSocket 场景。OpenClaw 这类智能体平台和前端页面之间有实时的消息推送如果 Nginx 没有配置 WebSocket 升级头页面能打开但聊天功能会异常表现为消息发不出去或者收不到回复控制台报 502。需要补上proxy_http_version 1.1; proxy_set_header Upgrade $http_upgrade; proxy_set_header Connection upgrade;域名场景下如果用了 HTTPS还得确认 443 端口在安全组里放行了证书路径配置也正确。4. 页面能开但没法用模型进程与依赖服务的隐性故障前两章解决的是“能不能打开网页”的问题这一章解决的是“页面开了但不干活”的问题。这类问题排查起来更反直觉因为光看页面表现很难猜到底是哪里出的故障。4.1 Ollama 没启动页面转圈转到你怀疑人生OpenClaw 这类智能体平台通常要接本地大模型服务来跑推理最常见的搭档是 Ollama。Ollama 是一个本地模型管理工具OpenClaw 通过它调用本地模型 API。如果你的 OpenClaw 部署在服务器上但 Ollama 服务没起来网页端就会一直转圈。很多人在这一步疯狂重装 OpenClaw、改配置其实问题根本不在 OpenClaw 上。排查方式非常直接ollama list如果提示连接失败先启动 Ollamaollama serve再检查当前拉了哪些模型ollama pull qwen2.5:3b如果你的配置里是用 qwen2.5-3b 这类小模型搭配 OpenClaw确保模型已经拉取成功。ollama list能看到模型列表说明模型服务通了OpenClaw 页面再刷新一下通常就正常了。我建议把 Ollama 注册成 systemd 服务防止服务器重启后模型服务没自动拉起来让 OpenClaw 又陷入“白屏转圈”状态。具体写法cat /etc/systemd/system/ollama.service EOF [Unit] DescriptionOllama LLM Service Afternetwork-online.target [Service] ExecStart/usr/local/bin/ollama serve Restartalways RestartSec10 [Install] WantedBymulti-user.target EOF systemctl daemon-reload systemctl enable ollama systemctl start ollama4.2 Docker 部署时端口映射错位的典型表现OpenClaw 除了直接跑进程还可以用 Docker 部署。Docker 部署出现“网页打不开”时第一步永远是docker ps -a看容器状态。如果容器状态不是Up而是Exited说明容器启动后崩了网页自然打不开。这时候别急着改配置先看日志docker logs 容器名 --tail 200日志里如果出现EADDRINUSE说明宿主机的端口已经被别的进程占用了。比如宿主机本来就跑了别的服务占用 8080你再映射 8080 就会冲突。解决办法是换一个宿主端口映射docker run -p 8081:8080 ...然后访问http://服务器IP:8081。另一种情况是端口映射写了但没生效常见于 Docker 容器重启后映射丢失。Docker 参数里的-p 8080:8080不是持久化的容器删掉重跑后不会自动恢复。建议用docker compose管理把端口映射写进 compose 文件里以后重启也不怕丢services: openclaw: image: your-openclaw-image ports: - 8080:80804.3 看日志一句话定位问题在哪一层遇到这类隐性故障最忌讳瞎猜。日志才是真正的“案发现场”。不同部署方式的日志位置不太一样直接进程部署启动命令前面的输出或者重定向的日志文件例如nohup ./openclaw openclaw.log 21 Docker 部署docker logs 容器名 --tail 200systemd 管理journalctl -u openclaw -f日志里出现频率最高的几个关键字EADDRINUSE端口已被占用listen 127.0.0.1:xxxx监听地址是本地回环外网访问不了connection refused服务连不上依赖组件比如 Ollama 或数据库OOM或Killed内存不够进程被系统杀了看到Killed这种先检查服务器内存有没有耗尽直接加 swap 可能比瞎调配置管用。4.4 浏览器缓存、系统时间这类软问题别忽略这类问题小到容易让人崩溃。有一次我帮人排查服务、端口、安全组全都没问题但浏览器就是打不开。最后发现是浏览器缓存了旧的错误页面清一下缓存、开个无痕窗口立刻就好了。记住一个原则凡是遇到“我明明配置对了但就是不行”的场景先开无痕窗口试一遍。这一步成本极低但能排除掉至少 20% 的诡异问题。还有一个冷门但真实存在的坑服务器系统时间不对。系统时间偏差过大的话某些基于 TLS 的校验会失败导致网页能打开但功能异常。用这个命令确认一下date如果时间不对执行ntpdate ntp.aliyun.com或者直接启用 NTP 同步。这看起来跟 OpenClaw 八竿子打不着但确实会阴人。5. 部署后必做的健康检查五分钟从终端走通全链路讲了这么多排查思路最后分享一个我自己的固定流程。每次部署完 OpenClaw我不会直接打开浏览器而是先按顺序在终端里走一遍全链路。确认每一层都没问题再打开浏览器基本一次就过。5.1 从进程到端口的四层检查清单我常用的检查顺序是这样的查进程ps aux | grep openclaw确认服务进程确实在跑。查端口ss -tlnp | grep 8080确认监听地址是0.0.0.0而不是127.0.0.1。查 HTTPcurl -I http://127.0.0.1:8080确认服务能正常响应 HTTP 请求。查依赖curl http://127.0.0.1:11434/api/tags确认 Ollama 模型服务可用模型列表能返回。这四步走完OpenClaw 从进程到服务的链路基本就有了结论。其中第 2 步和第 3 步可以合并成一个命令curl -v http://127.0.0.1:8080-v参数会输出完整请求过程能看到连接是否成功、HTTP 状态码是多少。如果返回Connection refused基本就是服务没起来或监听地址错了。5.2 我常用的“三问定位法”实际排查时我会问三个问题每问一层精准锁定故障源第一个问题这个端口上有进程吗如果ss -tlnp里根本看不到端口对应的进程问题在服务本身去查启动日志。这一步解决的是“服务没起来”。第二个问题进程在监听吗监听在哪里如果端口有进程但监听地址是127.0.0.1外网会超时本地能通。这一步解决的是“服务起了但地址不对”。第三个问题请求真的到达了吗如果所有端口监听都正常但外部请求还是不进来用tcpdump抓包看数据是否到达服务器。这一步解决的是“安全组和防火墙”。每次排查先从第一个问题开始逐层往下基本不会空转。5.3 顺手把开机自启和访问控制做好部署完能访问只是第一步我还会顺手做两件事。第一给 OpenClaw 配置开机自启。如果它是直接跑的进程可以用 systemd 托管cat /etc/systemd/system/openclaw.service EOF [Unit] DescriptionOpenClaw Service Afternetwork.target ollama.service [Service] ExecStart/opt/openclaw/start.sh Restartalways RestartSec10 [Install] WantedBymulti-user.target EOF systemctl daemon-reload systemctl enable openclaw这样服务器一重启OpenClaw 会跟着 Ollama 一起自动拉起不用每次手动敲命令。第二加上访问控制。如果 OpenClaw 暴露在公网上建议用 Nginx 加一层 Basic Auth避免任何人访问到你的智能体面板。Nginx 里这样配location / { auth_basic Restricted Access; auth_basic_user_file /etc/nginx/.htpasswd; proxy_pass http://127.0.0.1:8080; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; }.htpasswd文件用htpasswd -c /etc/nginx/.htpasswd 用户名生成。浏览器第一次访问时就会弹账号密码框。我自己在实际操作中的一个体会是OpenClaw 部署打不开网页百分之八十的情况根本轮不到看代码卡在“服务没有真的在监听”或“端口没放行”这两步的占绝大多数。不要一上来就怀疑代码和配置先从最底层的进程、端口、网络链路逐层排查反而更快。等网页能开了再回头研究接入 Microsoft Teams、Obsidian 这些扩展OpenClaw 真正的价值才刚开始体现。希望这篇排查手册能帮你省下几个小时的折腾时间。