OpenClaw Sécurité : Sandbox Docker + Tailscale

Créez un environnement sandbox sécurisé pour vos agents OpenClaw en utilisant Docker et Tailscale pour une isolation réseau complète.

Pourquoi Docker + Tailscale ?

• Isolation processus : Chaque agent dans son propre conteneur
• Isolation réseau : Réseau privé avec Tailscale
• Facilité de déploiement : Configuration reproductible
• Sécurité renforcée : Couche supplémentaire de protection

Configuration Docker

Dockerfile

FROM openclaw/runtime:2.4

# Configuration de sécurité
USER openclaw
WORKDIR /app

# Limites de ressources
ENV MAX_MEMORY=4G
ENV MAX_CPU=2

# Ports exposés
EXPOSE 8080

CMD ["openclaw", "start"]

Docker Compose

version: '3.8'
services:
  openclaw-agent:
    build: .
    container_name: openclaw-sandbox
    restart: unless-stopped
    
    # Limites de ressources
    deploy:
      resources:
        limits:
          cpus: '2'
          memory: 4G
    
    # Réseau isolé
    networks:
      - tailscale-net
    
    # Volumes sécurisés
    volumes:
      - ./agent-data:/app/data:rw
      - /var/log/openclaw:/app/logs:rw
    
    # Capabilities limitées
    cap_drop:
      - ALL
    cap_add:
      - NET_BIND_SERVICE

networks:
  tailscale-net:
    external: true

Configuration Tailscale

Installation

# Installer Tailscale
curl -fsSL https://tailscale.com/install.sh | sh

# Démarrer Tailscale
sudo tailscale up

# Vérifier le statut
tailscale status

ACL pour OpenClaw

{
  "acls": [
    {
      "action": "accept",
      "src": ["group:openclaw-agents"],
      "dst": ["tag:openclaw-server:8080"]
    },
    {
      "action": "deny",
      "src": ["*"],
      "dst": ["tag:openclaw-server:22"]
    }
  ],
  "tagOwners": {
    "tag:openclaw-server": ["group:admins"]
  }
}

Bonnes Pratiques

1. Mises à jour automatiques : Activez les mises à jour de sécurité automatiques
2. Monitoring : Surveillez les métriques du conteneur
3. Logs : Centralisez les logs avec un outil comme Fluentd
4. Backups : Sauvegardez les volumes Docker régulièrement

Intégration ShipTasks

ShipTasks automatise cette configuration :

# Déploiement automatisé avec sandbox
shiptasks deploy --sandbox --tailscale

Conclusion

La combinaison Docker + Tailscale offre une isolation robuste pour vos agents OpenClaw en production.