1. 先聊结论能但远程指挥OpenClaw这事的本质是把“门”开对我一开始和你想法一样——以为OpenClaw部署好之后手机装个App连上家里WiFi就能像遥控扫地机器人一样指哪打哪。真上手才发现事情没这么简单但也没那么玄乎。先说结论手机远程指挥家里的OpenClaw完全可行可行性甚至比我想象中高很多。但前提是你得先想清楚一个问题——你指挥的到底是谁OpenClaw不是一台“机器”它是一个跑在家里某台设备电脑、小主机、树莓派都行上的开源智能体进程。它本身没有“屏幕”没有“按钮”它的耳朵和手都是靠你给它接的模型和工具链来实现的。手机指挥它本质上是让一部在公网上的手机把一条指令安全、可靠地送进你家内网里那个正在跑的OpenClaw进程然后再把它的执行结果送回你手机屏幕上。所以真正要解决的不是“手机开个App”而是三件事家里的OpenClaw怎么稳定跑着手机和它之间怎么打通一条专属于你们的通道以及指令到了之后OpenClaw能不能准确理解、正确执行。这篇文章就是把我自己从头到尾折腾一遍的完整过程记录下来包含我踩过的坑和最终跑通的方案希望能让你少走弯路。2. 远程指挥之前先把OpenClaw的“家”安顿好这个话题必须从部署开始聊。因为远程指挥的最大前提是家里的OpenClaw本身稳定运行——它要是动不动就崩你手机遥控能力再强也没用。2.1 Windows下最常见的拦路虎WSL环境问题如果你用的是Windows电脑大概率会遇到我在热搜词里看到的高频问题openclaw无法安全验证sl2环境。请在powershell中运行wsl -- status。这个报错我实际遇到过非常典型。OpenClaw在Windows上最稳妥的运行方式是借助WSLWindows Subsystem for Linux跑一个Linux环境因为OpenClaw的很多依赖组件Python包、Node服务、各种工具链在Linux下的兼容性远好于原生Windows。而“无法安全验证”这个提示基本就两个原因WSL没装或者装了但没升级到WSL2。我的排查顺序是这样的打开PowerShell管理员模式先跑wsl -- status看当前状态。如果提示没有分发版本说明你只装了WSL内核但没装Linux发行版。接着跑wsl --install -d Ubuntu-22.04装一个最新的Ubuntu LTS版本。装完以后用wsl --set-version 发行版名称 2强制切到WSL2因为WSL1的内核隔离能力不够OpenClaw里很多需要端口监听的组件会出问题。最后再跑一次wsl --status确认默认版本是2状态是Running。提示如果wsl --install卡在“正在下载”很久不动多半是网络源的问题。可以手动去微软官网下载WSL的MSI安装包或者用wsl --update先更新内核。2.2 Windows Companion到底在干嘛很多人理解错了热搜词里有“openclaw windows companion 怎么配置”我一开始也以为这是手机App研究完才发现不是。Windows Companion是OpenClaw跑在Windows宿主机上的一个后台辅助程序它的作用是把Windows系统里的能力比如文件系统访问、浏览器控制、系统通知桥接给WSL里的OpenClaw进程用。简单说OpenClaw本体住在Linux“房间”里但它要伸手够到Windows“客厅”的东西必须靠Companion当传话人。配置Companion时有几个关键点端口别乱改默认端口是 8588 还是别的以你下载版本的配置文件为准。如果改了端口OpenClaw主配置里的companion_url也要跟着改否则指令到不了Windows侧。启动顺序有讲究必须先启动Companion再启动OpenClaw主程序。我因为顺序反了浪费了一个晚上排查症状是OpenClaw日志里一直报“companion connection refused”其实只是Companion还没来得及起来。防火墙要放行Windows自带防火墙会默认拦截WSL访问宿主机的端口。你需要手动加一条入站规则允许TCP 8588或你配置的端口从WSL网段访问否则Companion的调用永远是超时。2.3 如果你想少踩一半坑直接上Linux/NAS/小主机说句实在话如果你手头有闲置的Linux小主机、NAS或者愿意花一两百块买个二手迷你主机我强烈建议OpenClaw直接部署在纯Linux上。别在Windows上折腾。我在Windows上跑通之后后来把OpenClaw迁到一台Linux小主机上整体的稳定性和资源占用都好了不止一个档次。OpenClaw在Linux原生环境下没有WSL这一层转换损耗没有防火墙拦WSL的诡异问题也没有Companion这个额外的桥接层——一切都是直接读写出错概率断崖式下降。如果你坚持在Windows上跑那务必把本文2.1和2.2的坑先填了。远程指挥的底层是“进程活着”这步不稳后面全是空中楼阁。3. 手机和家的连接为什么不建议直接暴露端口以及我用的方案OpenClaw跑起来了接下来是重头戏——让手机在外面能访问到它。3.1 先搞清楚“内网”与“公网”这道墙你家路由器后面的所有设备电脑、NAS、手机连WiFi时都在一个私网里。私网的IP地址比如192.168.x.x只在你自己家有效外面的手机根本没法直接访问。手机在外面用的是运营商分配的公网IP所以它找不到你家里的OpenClaw。这就好比OpenClaw住在一栋没有门牌号的小区居民楼里手机要送快递给它光有“OpenClaw收”这个信息是不够的必须有楼栋号、单元号、门牌号还得有小区物业允许快递员进来。这个“物业”和“门牌号”就是我们说的内网穿透或公网中继。3.2 为什么我劝你别直接把OpenClaw端口暴露到公网我知道很多人第一反应是那我在路由器上做个端口映射把OpenClaw的某个端口映射到公网手机直接访问公网IP加端口不就行了技术上确实能通但安全上我强烈不建议。原因有三OpenClaw不是一个简单的Web服务它背后有工具调用能力。它能访问你的文件、执行命令、调API。如果这扇门直接开在公网上任何扫描到你IP的人都有可能试探登录。一旦被攻破相当于把家里的控制权交出去了。端口映射会把所有扫描流量都引到OpenClaw上。那些公网扫描器无时无刻不在扫全网的IP和端口你的设备会持续收到大量恶意探测请求占用资源不说日志里全是垃圾信息。你失去了访问控制能力。端口映射是“所有人可以访问”而你需要的是“只有我的手机可以访问”。3.3 我最终用的方案一台公网小服务器做跳板热搜词里有一条“openclaw配置阿里云服务器免费试用”说明不少人想到了这条路。我也是一样——搞了一台有公网IP的轻量云服务器新用户一般都有免费试用期过了试用期也有很便宜的入门款用它当跳板把手机和家里的OpenClaw连起来。整个方案用到的核心技术是SSH反向隧道也叫SSH Remote Forwarding加上一台云服务器做中继。原理不复杂家里的OpenClaw主动向外发起一条SSH连接到云服务器并在云服务器上开一个监听端口。因为这条连接是OpenClaw主动发起的所以你家路由器不需要做任何端口映射也不会暴露任何端口到公网。手机的指令发送到云服务器的那个端口云服务器再把数据通过这条已经建立的隧道原封不动转发到家里的OpenClaw。这个方案的精妙之处在于门不是开在墙上而是开在了一条只有你们家认识的密道里。外人即使知道密道口在哪没有钥匙也进不来。3.4 一步步配置SSH反向隧道以下命令都在家里的OpenClaw宿主机Linux或WSL里执行。假设云服务器的IP是1.2.3.4用户是ubuntu你要在云服务器上开放8866端口给OpenClaw用ssh -R 8866:localhost:8080 ubuntu1.2.3.4 -N -f解释一下参数-R表示反向转发8866是云服务器上对外监听的端口localhost:8080是指把云服务器8866端口收到的流量转发到本地也就是家里的OpenClaw的8080端口-N表示不执行远程命令只做转发-f表示后台运行。这样配好之后手机访问http://1.2.3.4:8866就等于访问了家里的http://localhost:8080。但问题来了——这条SSH隧道如果断了比如家里断网重连、服务器重启它不会自动恢复。所以需要用autossh这个工具来守护它。安装autossh后命令变成autossh -M 0 -R 8866:localhost:8080 ubuntu1.2.3.4 -N -f-M 0表示禁用autossh自带的监控端口新版SSH不需要。autossh会自动检测SSH连接是否存活断了就重新拉起非常稳。提示为了防止云服务器的登录密码反复输入建议配置SSH密钥登录。在本地执行ssh-keygen生成密钥然后把公钥内容追加到云服务器的~/.ssh/authorized_keys文件里。以后隧道就完全自动了。3.5 到了云服务器上还有一件事必须做加访问密码隧道通了不等于安全了。任何人访问http://1.2.3.4:8866都会直接连到你家OpenClaw。所以必须在前面再加一道门——要么在OpenClaw里启用认证要么在云服务器上再套一层反向代理加密码。我的做法是在云服务器上装了一个非常轻量的反向代理Caddy或Nginx都行在8866端口前面增加了Basic Auth用户名密码认证。这样手机访问时需要先通过密码校验流量才会被转发到隧道里。这个配置很简单但我认为它是整个远程方案里必不可少的一步。4. 模型选型为什么我最终选了qwen2.5-3b这类小模型跑远程场景远程通道打通了接下来是OpenClaw的“大脑”——大语言模型。这里有个很多新手容易犯的错一上来就配一个几百亿参数的云端大模型结果手机发一条指令要等十几秒才响应。4.1 远程指挥场景对模型的需求跟本地深度对话完全不同你在电脑前跟OpenClaw对话可以等它慢慢想但你在外面手机掏出来就是想快速让它干个活——查一下家里门窗关了没、提醒我下班买牛奶、把某个文件整理一下。这种情况下及时性比“聪明程度”更重要。还有一个现实问题——如果你用的是云端模型API每次指令都要把你的意图传到别人的服务器上。指令本身可能就是命令不存在隐私问题但如果你是给OpenClaw接了个人知识库那就得掂量掂量了。所以我的选择很明确核心指令理解用本地部署的小模型qwen2.5-3b就是我最终用起来的。4.2 3B模型真的够用吗把预期放在正确的维度上先说结论对于“手机遥控式”的短指令3B参数量完全够用而且绝大部分场景下体验比云端大模型更好。我在OpenClaw里部署qwen2.5-3b之后实测的响应速度大概是这样的模型单条短指令响应时间语义理解能力资源占用qwen2.5-3b本地13秒能理解日常指令、工具调用约4GB内存云端大模型API515秒更强但短指令优势不明显无本地占用而且手机远程控制的指令通常比较短比如“帮我执行某某脚本”“查询一下某某数据”本身对“复杂推理”的需求不高。qwen2.5-3b在短指令、工具调用function calling方面的表现说实话超出了我原本对小模型的预期。4.3 OpenClaw里怎么配qwen2.5-3b配置方式不复杂。如果你是用Ollama跑本地模型在OpenClaw的配置文件里把模型指向Ollama的本地API就行。先在宿主机上安装Ollama然后拉取模型ollama pull qwen2.5:3b接着在OpenClaw的配置文件里把模型相关字段改成model: provider: ollama name: qwen2.5:3b base_url: http://localhost:11434/v1这里有三个容易踩的坑OpenClaw的配置文件格式因版本而异。我一开始照着旧版本的文档配置字段名对不上日志直接报错。建议先看你自己这个版本自带的配置示例文件一般在config.example.yaml里再照着改。Ollama默认监听的是localhost只允许本机访问。如果你把OpenClaw放在WSL里Ollama装在Windows宿主机上WSL访问不了。这时候要么把Ollama的监听地址改成0.0.0.0要么干脆把Ollama也装在WSL里。我选择了后者省事。如果OpenClaw自带工具调用的格式支持记得打开。qwen系列对工具调用function calling支持很好只要在模型服务端启用对应参数OpenClaw就能让模型学会“决定调用哪个工具”。否则模型只能“说”不能“做”那就没法干活了。4.4 什么时候才需要换更大的模型说实话qwen2.5-3b并不是万能的。我在实际使用中发现如果指令里融合了多个请求比如“顺便把昨天那个表格统计一下发给我”3B模型就有点力不从心了可能漏掉“发给我”这个动作。这种情况我会临时切换到更大的模型或者把指令拆成两步先让它执行统计再让它发给我。我的建议是日常80%的指令用3B本地模型遇到复杂指令再考虑切换。这个比例在OpenClaw里可以通过简单规则设置来实现比如检测到“归纳总结”“分析”这类关键词就自动路由到更强模型。5. 手机端的几个指挥“姿势”按场景挑合适的隧道通了模型配好了最后一步是手机端怎么操作。这部分的方案选择直接决定了你日常用得顺不顺手。5.1 最通用手机浏览器直接访问Web界面如果OpenClaw自带Web管理界面很多版本都有那最省事的方式就是手机浏览器直接访问你的云服务器地址。配合上一节说的反向代理认证打开浏览器输地址、输密码就能像操作网页一样给OpenClaw下达指令。优点零安装Android和iPhone都行缺点在手机上操作网页控件手指精准度要求高而且网络断开就没了。一个提升体验的小技巧用浏览器的“添加到主屏幕”功能把OpenClaw的Web界面像App一样放在桌面上点开就是全屏模式比每次输网址舒服很多。5.2 最灵活手机装个SSH终端像在电脑前一样敲命令热搜词里有很多人搜“手机安装alpine”“linux手机适配”说明大家已经在想这条路了。我的经验是用手机SSH到云服务器再从云服务器SSH到家里的OpenClaw主机因为反向隧道已经在云服务器上留了本地端口执行类似openclaw status、openclaw chat之类的命令。这种方式最灵活适合对技术比较熟的人。iPhone上我用的是Termius免费版够用Android上可以用Termux或JuiceSSH。Termux本身还可以直接把OpenClaw的命令行客户端装进手机里这样手机就带了一个“命令行遥控器”连SSH中转都省了。提示用SSH方式前提是你的云服务器和家里设备都开了SSH的密钥认证。还要养成习惯随手把手机上的SSH会话锁屏别让外人拿到你手机的终端权限。5.3 最实用把指令“喂”给消息机器人OpenClaw支持接入消息平台做交互入口目前主流的有人用的方案不少你在手机上的聊天窗口里发一条“把客厅灯打开”机器人收到后就转给家里的OpenClaw执行执行结果再推回聊天窗口。这种方式是我日常用得最多的因为完全不挑网络聊天软件本来就是手机里打开频率最高的App。搭消息机器人要注意第一别用个人聊天账号直接对接要申请一个专用的机器人账号第二机器人接收的OpenClaw指令要严格限制在OpenClaw自身定义的安全规则里第三远程遥控时需要确保消息通道本身有访问控制别让陌生人加了机器人就能指挥你家OpenClaw干活。5.4 暗黑玩法用桌面挂件和智能家居联动最后说一个我最近在折腾的偏门但很有趣的玩法。热搜里有“手机桌面宠物”“esp01s发送tcp消息手机”说明不少人在研究手机跟身边设备的联动。我在手机桌面上放了一个开源小组件它可以往家里的MQTT服务器发消息。OpenClaw那边接了一个MQTT监听器收到特定主题的消息后就触发对应任务。这样我出门前在桌面点一下“离家模式”OpenClaw就会自动检查门窗、关闭不必要的设备、启动监控流程。这种玩法不算难但确实把“手机远程指挥”从“发命令”升级成了“点按钮”家人用起来零学习成本——不需要理解任何技术概念点一个图标就完事。6. 排障实录从搜索热词里挖出的真实问题及解决过程最后这部分我结合自己在搭建过程中遇到的问题整理了一个“远程指挥链路排障”的完整思路。链路一共四段手机 → 云服务器 → 隧道 → 家里的OpenClaw。每一段都可能出问题关键在于先定位是哪一段断了而不是瞎折腾。6.1 症状手机访问云服务器地址页面转圈打不开这种问题我第一反应是查云服务器上的隧道进程还活着没。先SSH登录云服务器执行ss -tlnp | grep 8866看端口是否在监听。如果端口不在了说明家里的隧道断了去家里主机看autossh进程是否还活着、网络是否重连过。如果是隧道活着但页面打不开那重点查反向代理配置。我在Caddy里遇到过端口没绑对、Basic Auth的账号密码文件路径写错这类问题日志里会有明确提示。6.2 症状手机端提示无法连接或超时如果手机直接提示超时先看看手机和云服务器之间网络通不通——用Traceroute或Ping工具测一下。这里常被忽略的是运营商网络对某些端口的封锁。国内运营商对80、443以外的非标准端口偶尔会有限制。我当时开测试端口时特意选了一个不常用的高位端口就极少遇到被运营商掐掉的情况。另外云服务器的“安全组”防火墙别忘了放行你用的端口。阿里云、腾讯云的服务器都有安全组规则默认只开放少数端口新端口必须去控制台加白名单。这一步非常隐蔽因为你在服务器内部看端口是通的但外部访问就是进不来。6.3 症状隧道正常OpenClaw却像是“听不见”指令这里要分清是“指令没送达”还是“模型没理解”。我有个教训刚开始配qwen2.5-3b时OpenClaw的日志里根本没有任何模型调用的记录我还以为是隧道的问题后来发现是OpenClaw配置文件里模型名称写错了写成了qwen2.5:3b-instruct但本地实际标签是qwen2.5:3b导致模型调用一直失败OpenClaw就一直不响应。排查这类问题时有两个工具很关键在OpenClaw宿主机上开一个实时日志窗口执行tail -f看OpenClaw的运行日志观察是否收到指令、模型是否被调用、工具是否执行成功。用手机抓包工具比如Charles或Fiddler监听手机发出的请求是否到达云服务器端口。注意这是正规的移动端调试手段用来确认链路每一段的数据流转情况。6.4 一个容易被忽略的隐性坑手机“本地缓存”导致指令走了旧通道有一次我改了云服务器的端口和认证方式手机端却还是连不上。排查到最后才发现是手机浏览器缓存了旧页面的重定向记录一直在访问旧域名和旧端口。这个问题的解决方式很原始手机浏览器开无痕模式或者清一下站点数据。但这个问题非常容易让人误判成隧道或配置问题白折腾半小时。6.5 心态与排查顺序总结我的排查顺序永远是先手机端网络环境、缓存再云服务器端口、进程、安全组再隧道autossh状态、密钥最后才是OpenClaw本身的配置和模型。这个顺序能帮你避免一大半的无用功——尤其是别一开始就怀疑OpenClaw配置文件错了大多数时候问题出在网络链路而不是业务逻辑上。最后分享一个实际体会整套方案里80%的稳定性来自那条SSH反向隧道和云服务器跳板20%来自OpenClaw本身的配置正确。只要隧道稳定、模型配置对手机远程指挥OpenClaw这件事用起来是真的顺手。而且这套架构完全不挑手机——不管你是哪款手机只要浏览器正常、网络正常都能指挥家里这尊“数字管家”干活。 手机远程指挥OpenClaw实战：SSH反向隧道与本地模型部署全指南
1. 先聊结论能但远程指挥OpenClaw这事的本质是把“门”开对我一开始和你想法一样——以为OpenClaw部署好之后手机装个App连上家里WiFi就能像遥控扫地机器人一样指哪打哪。真上手才发现事情没这么简单但也没那么玄乎。先说结论手机远程指挥家里的OpenClaw完全可行可行性甚至比我想象中高很多。但前提是你得先想清楚一个问题——你指挥的到底是谁OpenClaw不是一台“机器”它是一个跑在家里某台设备电脑、小主机、树莓派都行上的开源智能体进程。它本身没有“屏幕”没有“按钮”它的耳朵和手都是靠你给它接的模型和工具链来实现的。手机指挥它本质上是让一部在公网上的手机把一条指令安全、可靠地送进你家内网里那个正在跑的OpenClaw进程然后再把它的执行结果送回你手机屏幕上。所以真正要解决的不是“手机开个App”而是三件事家里的OpenClaw怎么稳定跑着手机和它之间怎么打通一条专属于你们的通道以及指令到了之后OpenClaw能不能准确理解、正确执行。这篇文章就是把我自己从头到尾折腾一遍的完整过程记录下来包含我踩过的坑和最终跑通的方案希望能让你少走弯路。2. 远程指挥之前先把OpenClaw的“家”安顿好这个话题必须从部署开始聊。因为远程指挥的最大前提是家里的OpenClaw本身稳定运行——它要是动不动就崩你手机遥控能力再强也没用。2.1 Windows下最常见的拦路虎WSL环境问题如果你用的是Windows电脑大概率会遇到我在热搜词里看到的高频问题openclaw无法安全验证sl2环境。请在powershell中运行wsl -- status。这个报错我实际遇到过非常典型。OpenClaw在Windows上最稳妥的运行方式是借助WSLWindows Subsystem for Linux跑一个Linux环境因为OpenClaw的很多依赖组件Python包、Node服务、各种工具链在Linux下的兼容性远好于原生Windows。而“无法安全验证”这个提示基本就两个原因WSL没装或者装了但没升级到WSL2。我的排查顺序是这样的打开PowerShell管理员模式先跑wsl -- status看当前状态。如果提示没有分发版本说明你只装了WSL内核但没装Linux发行版。接着跑wsl --install -d Ubuntu-22.04装一个最新的Ubuntu LTS版本。装完以后用wsl --set-version 发行版名称 2强制切到WSL2因为WSL1的内核隔离能力不够OpenClaw里很多需要端口监听的组件会出问题。最后再跑一次wsl --status确认默认版本是2状态是Running。提示如果wsl --install卡在“正在下载”很久不动多半是网络源的问题。可以手动去微软官网下载WSL的MSI安装包或者用wsl --update先更新内核。2.2 Windows Companion到底在干嘛很多人理解错了热搜词里有“openclaw windows companion 怎么配置”我一开始也以为这是手机App研究完才发现不是。Windows Companion是OpenClaw跑在Windows宿主机上的一个后台辅助程序它的作用是把Windows系统里的能力比如文件系统访问、浏览器控制、系统通知桥接给WSL里的OpenClaw进程用。简单说OpenClaw本体住在Linux“房间”里但它要伸手够到Windows“客厅”的东西必须靠Companion当传话人。配置Companion时有几个关键点端口别乱改默认端口是 8588 还是别的以你下载版本的配置文件为准。如果改了端口OpenClaw主配置里的companion_url也要跟着改否则指令到不了Windows侧。启动顺序有讲究必须先启动Companion再启动OpenClaw主程序。我因为顺序反了浪费了一个晚上排查症状是OpenClaw日志里一直报“companion connection refused”其实只是Companion还没来得及起来。防火墙要放行Windows自带防火墙会默认拦截WSL访问宿主机的端口。你需要手动加一条入站规则允许TCP 8588或你配置的端口从WSL网段访问否则Companion的调用永远是超时。2.3 如果你想少踩一半坑直接上Linux/NAS/小主机说句实在话如果你手头有闲置的Linux小主机、NAS或者愿意花一两百块买个二手迷你主机我强烈建议OpenClaw直接部署在纯Linux上。别在Windows上折腾。我在Windows上跑通之后后来把OpenClaw迁到一台Linux小主机上整体的稳定性和资源占用都好了不止一个档次。OpenClaw在Linux原生环境下没有WSL这一层转换损耗没有防火墙拦WSL的诡异问题也没有Companion这个额外的桥接层——一切都是直接读写出错概率断崖式下降。如果你坚持在Windows上跑那务必把本文2.1和2.2的坑先填了。远程指挥的底层是“进程活着”这步不稳后面全是空中楼阁。3. 手机和家的连接为什么不建议直接暴露端口以及我用的方案OpenClaw跑起来了接下来是重头戏——让手机在外面能访问到它。3.1 先搞清楚“内网”与“公网”这道墙你家路由器后面的所有设备电脑、NAS、手机连WiFi时都在一个私网里。私网的IP地址比如192.168.x.x只在你自己家有效外面的手机根本没法直接访问。手机在外面用的是运营商分配的公网IP所以它找不到你家里的OpenClaw。这就好比OpenClaw住在一栋没有门牌号的小区居民楼里手机要送快递给它光有“OpenClaw收”这个信息是不够的必须有楼栋号、单元号、门牌号还得有小区物业允许快递员进来。这个“物业”和“门牌号”就是我们说的内网穿透或公网中继。3.2 为什么我劝你别直接把OpenClaw端口暴露到公网我知道很多人第一反应是那我在路由器上做个端口映射把OpenClaw的某个端口映射到公网手机直接访问公网IP加端口不就行了技术上确实能通但安全上我强烈不建议。原因有三OpenClaw不是一个简单的Web服务它背后有工具调用能力。它能访问你的文件、执行命令、调API。如果这扇门直接开在公网上任何扫描到你IP的人都有可能试探登录。一旦被攻破相当于把家里的控制权交出去了。端口映射会把所有扫描流量都引到OpenClaw上。那些公网扫描器无时无刻不在扫全网的IP和端口你的设备会持续收到大量恶意探测请求占用资源不说日志里全是垃圾信息。你失去了访问控制能力。端口映射是“所有人可以访问”而你需要的是“只有我的手机可以访问”。3.3 我最终用的方案一台公网小服务器做跳板热搜词里有一条“openclaw配置阿里云服务器免费试用”说明不少人想到了这条路。我也是一样——搞了一台有公网IP的轻量云服务器新用户一般都有免费试用期过了试用期也有很便宜的入门款用它当跳板把手机和家里的OpenClaw连起来。整个方案用到的核心技术是SSH反向隧道也叫SSH Remote Forwarding加上一台云服务器做中继。原理不复杂家里的OpenClaw主动向外发起一条SSH连接到云服务器并在云服务器上开一个监听端口。因为这条连接是OpenClaw主动发起的所以你家路由器不需要做任何端口映射也不会暴露任何端口到公网。手机的指令发送到云服务器的那个端口云服务器再把数据通过这条已经建立的隧道原封不动转发到家里的OpenClaw。这个方案的精妙之处在于门不是开在墙上而是开在了一条只有你们家认识的密道里。外人即使知道密道口在哪没有钥匙也进不来。3.4 一步步配置SSH反向隧道以下命令都在家里的OpenClaw宿主机Linux或WSL里执行。假设云服务器的IP是1.2.3.4用户是ubuntu你要在云服务器上开放8866端口给OpenClaw用ssh -R 8866:localhost:8080 ubuntu1.2.3.4 -N -f解释一下参数-R表示反向转发8866是云服务器上对外监听的端口localhost:8080是指把云服务器8866端口收到的流量转发到本地也就是家里的OpenClaw的8080端口-N表示不执行远程命令只做转发-f表示后台运行。这样配好之后手机访问http://1.2.3.4:8866就等于访问了家里的http://localhost:8080。但问题来了——这条SSH隧道如果断了比如家里断网重连、服务器重启它不会自动恢复。所以需要用autossh这个工具来守护它。安装autossh后命令变成autossh -M 0 -R 8866:localhost:8080 ubuntu1.2.3.4 -N -f-M 0表示禁用autossh自带的监控端口新版SSH不需要。autossh会自动检测SSH连接是否存活断了就重新拉起非常稳。提示为了防止云服务器的登录密码反复输入建议配置SSH密钥登录。在本地执行ssh-keygen生成密钥然后把公钥内容追加到云服务器的~/.ssh/authorized_keys文件里。以后隧道就完全自动了。3.5 到了云服务器上还有一件事必须做加访问密码隧道通了不等于安全了。任何人访问http://1.2.3.4:8866都会直接连到你家OpenClaw。所以必须在前面再加一道门——要么在OpenClaw里启用认证要么在云服务器上再套一层反向代理加密码。我的做法是在云服务器上装了一个非常轻量的反向代理Caddy或Nginx都行在8866端口前面增加了Basic Auth用户名密码认证。这样手机访问时需要先通过密码校验流量才会被转发到隧道里。这个配置很简单但我认为它是整个远程方案里必不可少的一步。4. 模型选型为什么我最终选了qwen2.5-3b这类小模型跑远程场景远程通道打通了接下来是OpenClaw的“大脑”——大语言模型。这里有个很多新手容易犯的错一上来就配一个几百亿参数的云端大模型结果手机发一条指令要等十几秒才响应。4.1 远程指挥场景对模型的需求跟本地深度对话完全不同你在电脑前跟OpenClaw对话可以等它慢慢想但你在外面手机掏出来就是想快速让它干个活——查一下家里门窗关了没、提醒我下班买牛奶、把某个文件整理一下。这种情况下及时性比“聪明程度”更重要。还有一个现实问题——如果你用的是云端模型API每次指令都要把你的意图传到别人的服务器上。指令本身可能就是命令不存在隐私问题但如果你是给OpenClaw接了个人知识库那就得掂量掂量了。所以我的选择很明确核心指令理解用本地部署的小模型qwen2.5-3b就是我最终用起来的。4.2 3B模型真的够用吗把预期放在正确的维度上先说结论对于“手机遥控式”的短指令3B参数量完全够用而且绝大部分场景下体验比云端大模型更好。我在OpenClaw里部署qwen2.5-3b之后实测的响应速度大概是这样的模型单条短指令响应时间语义理解能力资源占用qwen2.5-3b本地13秒能理解日常指令、工具调用约4GB内存云端大模型API515秒更强但短指令优势不明显无本地占用而且手机远程控制的指令通常比较短比如“帮我执行某某脚本”“查询一下某某数据”本身对“复杂推理”的需求不高。qwen2.5-3b在短指令、工具调用function calling方面的表现说实话超出了我原本对小模型的预期。4.3 OpenClaw里怎么配qwen2.5-3b配置方式不复杂。如果你是用Ollama跑本地模型在OpenClaw的配置文件里把模型指向Ollama的本地API就行。先在宿主机上安装Ollama然后拉取模型ollama pull qwen2.5:3b接着在OpenClaw的配置文件里把模型相关字段改成model: provider: ollama name: qwen2.5:3b base_url: http://localhost:11434/v1这里有三个容易踩的坑OpenClaw的配置文件格式因版本而异。我一开始照着旧版本的文档配置字段名对不上日志直接报错。建议先看你自己这个版本自带的配置示例文件一般在config.example.yaml里再照着改。Ollama默认监听的是localhost只允许本机访问。如果你把OpenClaw放在WSL里Ollama装在Windows宿主机上WSL访问不了。这时候要么把Ollama的监听地址改成0.0.0.0要么干脆把Ollama也装在WSL里。我选择了后者省事。如果OpenClaw自带工具调用的格式支持记得打开。qwen系列对工具调用function calling支持很好只要在模型服务端启用对应参数OpenClaw就能让模型学会“决定调用哪个工具”。否则模型只能“说”不能“做”那就没法干活了。4.4 什么时候才需要换更大的模型说实话qwen2.5-3b并不是万能的。我在实际使用中发现如果指令里融合了多个请求比如“顺便把昨天那个表格统计一下发给我”3B模型就有点力不从心了可能漏掉“发给我”这个动作。这种情况我会临时切换到更大的模型或者把指令拆成两步先让它执行统计再让它发给我。我的建议是日常80%的指令用3B本地模型遇到复杂指令再考虑切换。这个比例在OpenClaw里可以通过简单规则设置来实现比如检测到“归纳总结”“分析”这类关键词就自动路由到更强模型。5. 手机端的几个指挥“姿势”按场景挑合适的隧道通了模型配好了最后一步是手机端怎么操作。这部分的方案选择直接决定了你日常用得顺不顺手。5.1 最通用手机浏览器直接访问Web界面如果OpenClaw自带Web管理界面很多版本都有那最省事的方式就是手机浏览器直接访问你的云服务器地址。配合上一节说的反向代理认证打开浏览器输地址、输密码就能像操作网页一样给OpenClaw下达指令。优点零安装Android和iPhone都行缺点在手机上操作网页控件手指精准度要求高而且网络断开就没了。一个提升体验的小技巧用浏览器的“添加到主屏幕”功能把OpenClaw的Web界面像App一样放在桌面上点开就是全屏模式比每次输网址舒服很多。5.2 最灵活手机装个SSH终端像在电脑前一样敲命令热搜词里有很多人搜“手机安装alpine”“linux手机适配”说明大家已经在想这条路了。我的经验是用手机SSH到云服务器再从云服务器SSH到家里的OpenClaw主机因为反向隧道已经在云服务器上留了本地端口执行类似openclaw status、openclaw chat之类的命令。这种方式最灵活适合对技术比较熟的人。iPhone上我用的是Termius免费版够用Android上可以用Termux或JuiceSSH。Termux本身还可以直接把OpenClaw的命令行客户端装进手机里这样手机就带了一个“命令行遥控器”连SSH中转都省了。提示用SSH方式前提是你的云服务器和家里设备都开了SSH的密钥认证。还要养成习惯随手把手机上的SSH会话锁屏别让外人拿到你手机的终端权限。5.3 最实用把指令“喂”给消息机器人OpenClaw支持接入消息平台做交互入口目前主流的有人用的方案不少你在手机上的聊天窗口里发一条“把客厅灯打开”机器人收到后就转给家里的OpenClaw执行执行结果再推回聊天窗口。这种方式是我日常用得最多的因为完全不挑网络聊天软件本来就是手机里打开频率最高的App。搭消息机器人要注意第一别用个人聊天账号直接对接要申请一个专用的机器人账号第二机器人接收的OpenClaw指令要严格限制在OpenClaw自身定义的安全规则里第三远程遥控时需要确保消息通道本身有访问控制别让陌生人加了机器人就能指挥你家OpenClaw干活。5.4 暗黑玩法用桌面挂件和智能家居联动最后说一个我最近在折腾的偏门但很有趣的玩法。热搜里有“手机桌面宠物”“esp01s发送tcp消息手机”说明不少人在研究手机跟身边设备的联动。我在手机桌面上放了一个开源小组件它可以往家里的MQTT服务器发消息。OpenClaw那边接了一个MQTT监听器收到特定主题的消息后就触发对应任务。这样我出门前在桌面点一下“离家模式”OpenClaw就会自动检查门窗、关闭不必要的设备、启动监控流程。这种玩法不算难但确实把“手机远程指挥”从“发命令”升级成了“点按钮”家人用起来零学习成本——不需要理解任何技术概念点一个图标就完事。6. 排障实录从搜索热词里挖出的真实问题及解决过程最后这部分我结合自己在搭建过程中遇到的问题整理了一个“远程指挥链路排障”的完整思路。链路一共四段手机 → 云服务器 → 隧道 → 家里的OpenClaw。每一段都可能出问题关键在于先定位是哪一段断了而不是瞎折腾。6.1 症状手机访问云服务器地址页面转圈打不开这种问题我第一反应是查云服务器上的隧道进程还活着没。先SSH登录云服务器执行ss -tlnp | grep 8866看端口是否在监听。如果端口不在了说明家里的隧道断了去家里主机看autossh进程是否还活着、网络是否重连过。如果是隧道活着但页面打不开那重点查反向代理配置。我在Caddy里遇到过端口没绑对、Basic Auth的账号密码文件路径写错这类问题日志里会有明确提示。6.2 症状手机端提示无法连接或超时如果手机直接提示超时先看看手机和云服务器之间网络通不通——用Traceroute或Ping工具测一下。这里常被忽略的是运营商网络对某些端口的封锁。国内运营商对80、443以外的非标准端口偶尔会有限制。我当时开测试端口时特意选了一个不常用的高位端口就极少遇到被运营商掐掉的情况。另外云服务器的“安全组”防火墙别忘了放行你用的端口。阿里云、腾讯云的服务器都有安全组规则默认只开放少数端口新端口必须去控制台加白名单。这一步非常隐蔽因为你在服务器内部看端口是通的但外部访问就是进不来。6.3 症状隧道正常OpenClaw却像是“听不见”指令这里要分清是“指令没送达”还是“模型没理解”。我有个教训刚开始配qwen2.5-3b时OpenClaw的日志里根本没有任何模型调用的记录我还以为是隧道的问题后来发现是OpenClaw配置文件里模型名称写错了写成了qwen2.5:3b-instruct但本地实际标签是qwen2.5:3b导致模型调用一直失败OpenClaw就一直不响应。排查这类问题时有两个工具很关键在OpenClaw宿主机上开一个实时日志窗口执行tail -f看OpenClaw的运行日志观察是否收到指令、模型是否被调用、工具是否执行成功。用手机抓包工具比如Charles或Fiddler监听手机发出的请求是否到达云服务器端口。注意这是正规的移动端调试手段用来确认链路每一段的数据流转情况。6.4 一个容易被忽略的隐性坑手机“本地缓存”导致指令走了旧通道有一次我改了云服务器的端口和认证方式手机端却还是连不上。排查到最后才发现是手机浏览器缓存了旧页面的重定向记录一直在访问旧域名和旧端口。这个问题的解决方式很原始手机浏览器开无痕模式或者清一下站点数据。但这个问题非常容易让人误判成隧道或配置问题白折腾半小时。6.5 心态与排查顺序总结我的排查顺序永远是先手机端网络环境、缓存再云服务器端口、进程、安全组再隧道autossh状态、密钥最后才是OpenClaw本身的配置和模型。这个顺序能帮你避免一大半的无用功——尤其是别一开始就怀疑OpenClaw配置文件错了大多数时候问题出在网络链路而不是业务逻辑上。最后分享一个实际体会整套方案里80%的稳定性来自那条SSH反向隧道和云服务器跳板20%来自OpenClaw本身的配置正确。只要隧道稳定、模型配置对手机远程指挥OpenClaw这件事用起来是真的顺手。而且这套架构完全不挑手机——不管你是哪款手机只要浏览器正常、网络正常都能指挥家里这尊“数字管家”干活。