OpenClaw端口冲突如何检查安全组设置？

OpenClaw服务启动后外部无法访问，最常见原因是云平台安全组未放行其监听端口，需逐层确认规则是否生效、是否覆盖全部流量路径，包括检查所有绑定的安全组、规则端口匹配性、安全组是否绑定到正确网卡，以及OpenClaw配置监听地址是否为0.0.0.0。

OpenClaw服务启动后外部无法访问，最常见原因是云平台安全组未放行其监听端口，需逐层确认规则是否生效、是否覆盖全部流量路径。

登录云控制台定位目标实例

进入云服务商控制台 → 找到运行 OpenClaw 的云服务器实例 → 点击实例右侧“安全组”链接。

注意：若该实例绑定了多个安全组，【必须逐一检查每个安全组的入方向规则】，不能只看默认组。

检查入方向规则是否匹配OpenClaw端口

在安全组规则列表中，切换到“入方向”页签 → 查找协议为 TCP、端口范围包含 OpenClaw 实际监听端口（如 8080、3000、5000 等）的条目。

若无对应规则，点击“添加规则” → 协议类型选 TCP → 端口范围填具体端口号（如 3000）或连续端口段（如 3000-3005）→ 授权对象填 0.0.0.0/0（测试用）或指定 IP 段 → 优先级设为 1（最高）→ 保存。

若已有规则但端口不匹配，比如规则写的是 8080-8081 而 OpenClaw 实际监听 8082，则该规则完全无效，必须新增或修改。

验证安全组是否已绑定到正确网卡

第一步：在实例详情页找到“网络信息”区域 → 记下弹性网卡 ID（如 eni-xxxxx）。

第二步：进入“网络与安全 → 弹性网卡” → 找到对应网卡 → 查看“安全组”列绑定的组名。

第三步：确认该安全组正是你刚刚编辑的那个——【OpenStack 或部分私有云中，安全组可绑定到网卡而非实例，此处极易漏查】。

对比 OpenClaw 配置与安全组端口一致性

登录 OpenClaw 服务器，执行：grep -r "port|listen" /etc/openclaw/ 或查看其启动命令参数，确认实际监听端口。

方法一：用 ss -tlnp | grep openclaw 直接查看进程监听的端口和地址（如 0.0.0.0:3000 表示全网卡监听）。

方法二：检查 OpenClaw 配置文件中 server.port 或 bind 字段值，确保与安全组放行端口完全一致。

若配置监听 127.0.0.1:3000，则即使安全组放通 3000，外部也无法访问——必须改为 0.0.0.0:3000 或对应公网网卡地址。