1. 为什么本地 OpenClaw 出门就废？先把场景说透
OpenClaw 这类本地 AI 网关最大的价值在于数据不出本机，对话记录、文件索引、执行日志全部锁在你自己硬盘里。但它的默认监听地址通常是127.0.0.1:18789或局域网 IP，一旦你离开家里 Wi-Fi，手机和笔记本就彻底断联。我见过太多人部署完头两天很兴奋，第三天开始闲置，核心原因不是工具不好用，而是"只能在书房里用"这件事本身就把使用频率砍掉了八成。
把 OpenClaw 带出门有两条路：一条是改路由器端口映射，需要公网 IP、要动防火墙、运营商还可能回收动态地址；另一条是用内网穿透工具在本地和公网之间架一条加密隧道，不改动家里网络结构，也不依赖宽带是否有公网 IP。cpolar 属于后者，支持 HTTP/TCP 协议映射，Windows、macOS、Linux、NAS 都能跑，免费版就能验证完整链路。
这篇要解决三个具体问题：第一，cpolar 隧道怎么配才能稳定指向 OpenClaw 的 18789 端口；第二，OpenClaw 的settings.json里怎么把模型请求统一走 TaoToken 的 Key 和 API 通道，避免本地部署完却没有可用模型；第三，免费随机域名每 24 小时变一次太折腾，怎么固定成二级子域名，让手机书签长期有效。下面按可复制操作一步步来，配置片段直接抄改即可。
2. 前置准备：TaoToken 统一 Key 与 API 通道接入
OpenClaw 本身是网关和调度层，它需要后端模型服务才能真正对话。如果你在本地分别接多家模型、每个都维护一套 Key，配置会迅速失控。TaoToken 的作用是把模型调用收敛到一个入口：一个 API Key、一个 Base URL，OpenClaw 侧只认这一套凭证，后面换模型或加模型都不用改网关配置。
先到控制台创建 Key。打开 https://taotoken.net/api-keys ，新建一个 API Key，复制出来存到本地密码管理器。注意这个 Key 只在创建时完整显示一次，页面刷新后就只剩掩码，丢了只能重建。
Base URL 统一用https://taotoken.net/api，不要带任何查询参数。OpenClaw 的模型配置里通常有baseUrl和apiKey两个字段，把这两个填进去，模型名称按你实际要用的填。如果你不确定该选哪个模型，可以先到 https://taotoken.net/model-chat 用网页对话验证 Key 是否可用，确认能正常返回再写进配置文件，省得在 OpenClaw 里反复重启排查。
如果你后续要长期跑编码类任务或 Agent 工作流，建议单独了解 Coding Plan 的额度策略，地址是 https://taotoken.net/coding-plan ，它和按量调用是两套计费逻辑，提前规划能省不少调试成本。接入文档在 https://taotoken.net/doc ，里面有各语言 SDK 的调用示例，OpenClaw 走的是标准 OpenAI 兼容协议，直接参考即可。
3. 可复制配置：cpolar 隧道骨架 + OpenClaw settings.json 片段
3.1 cpolar 隧道配置骨架
cpolar 安装完成后，Web UI 默认在http://127.0.0.1:9200。登录后进入"隧道管理 → 隧道列表"，新建或编辑一条 HTTP 隧道，关键字段如下：
| 字段 | 填写值 | 说明 |
|---|---|---|
| 隧道名称 | openclaw | 自定义，便于识别 |
| 协议 | http | OpenClaw 是 Web 服务，用 HTTP |
| 本地地址 | 18789 | OpenClaw 默认监听端口 |
| 地区 | China Top | 国内访问延迟较低 |
| 域名类型 | 随机域名 / 二级子域名 | 先随机验证，后固定 |
如果你习惯用配置文件方式管理，cpolar 的配置骨架大致如下（路径以实际安装目录为准）：
tunnels: openclaw: proto: http addr: 18789 region: cn_top subdomain: openclaw hostname: ""subdomain字段只有在你已经预留了二级子域名后才生效，免费随机阶段留空即可。改完配置后重启 cpolar 服务，回到 Web UI 的"状态 → 在线隧道列表"确认隧道处于在线状态。
3.2 OpenClaw settings.json 接入片段
OpenClaw 的配置文件通常在安装目录下的settings.json或用户配置目录中。找到后，在模型相关段落加入 TaoToken 的接入信息：
{ "gateway": { "controlUi": { "allowedOrigins": [ "https://openclaw.cpolar.top" ] } }, "model": { "provider": "openai-compatible", "baseUrl": "https://taotoken.net/api", "apiKey": "sk-你的TaoToken密钥", "model": "你的模型名称" } }allowedOrigins这一项非常关键。OpenClaw 默认只允许从本机打开控制界面，穿透后域名变了，必须把公网域名加进白名单，否则页面会报origin not allowed。如果你还没固定二级子域名，这里先填 cpolar 给你的随机域名，等固定后再改一次。
改完配置后执行重启命令让网关重新加载：
openclaw gateway restart如果你更习惯用命令行改配置而不是手编 JSON，可以用：
openclaw config set gateway.controlUi.allowedOrigins "[\"https://openclaw.cpolar.top\"]" --strict-json openclaw gateway restart注意--strict-json不能省，否则数组会被当成字符串写入，重启后白名单不生效。
4. 验证请求：从外网打开 OpenClaw 并完成设备配对
配置写完后，先别急着出门测试，在本地用公网地址访问一遍，确认链路通。打开浏览器，输入 cpolar 在线隧道列表里那条 openclaw 隧道的 https 地址，比如https://openclaw.cpolar.top。
第一次访问大概率会看到两类提示。第一类是origin not allowed，说明allowedOrigins没配对或没重启，回到上一节检查。第二类是要求输入网关令牌，这个令牌在本地 OpenClaw 聊天界面的"概览"菜单里可以复制，粘贴到穿透页面的对应输入框，点击连接。
连接后如果出现"此设备需要网关主机的配对批准"，说明 OpenClaw 的设备授权机制在起作用。回到本机终端执行：
openclaw devices list你会看到一条待批准的请求，记下其中的 requestId，然后执行：
openclaw devices approve <requestId>把<requestId>替换成实际字符串。批准完成后刷新穿透页面，健康状态应该显示"正常"，此时在公网页面发一条消息，能收到模型回复就说明整条链路打通了：外网请求 → cpolar 隧道 → 本地 OpenClaw → TaoToken API → 模型返回。
验证模型通道是否真的走了 TaoToken，可以在 OpenClaw 日志里看请求的 baseUrl，或者临时把 Key 改错一位，如果报鉴权失败就证明请求确实打到了 TaoToken 的接口。
5. 固定二级子域名：让地址不再每 24 小时变一次
免费版 cpolar 的随机域名每 24 小时轮换，今天收藏的链接明天就失效。要长期使用，必须预留一个二级子域名。进入 https://dashboard.cpolar.com/reserved ，在"保留二级子域名"区域填写地区（选 China Top）、名称（比如 openclaw）、描述可留空，点击保留。列表里会出现一条记录，二级域名显示为openclaw，完整形式是openclaw.cpolar.top。
回到 cpolar Web UI 的隧道列表，编辑 openclaw 隧道，把域名类型从"随机域名"改为"二级子域名"，子域名字段填入刚才预留的名称，更新保存。再到"状态 → 在线隧道列表"确认公网地址已经变成https://openclaw.cpolar.top这种固定形式。
地址变了之后，OpenClaw 的allowedOrigins也要同步更新：
openclaw config set gateway.controlUi.allowedOrigins "[\"https://openclaw.cpolar.top\"]" --strict-json openclaw gateway restart重启后重新走一遍令牌输入和设备配对流程，之后这个地址就固定不变了。你可以把它加到手机主屏幕、浏览器书签，甚至分享给信任的家人，随时打开就能和家里的 AI 对话。
这里必须提醒一句：OpenClaw 具备文件读取和系统操作权限，穿透到公网后，网关令牌就是你家电脑的钥匙。不要把令牌发到公开群组、不要截图带令牌的页面、不要用弱密码。如果只是自己用，建议定期轮换令牌，并在不使用时关闭 cpolar 隧道。
6. 本篇常见报错排查
报错一：origin not allowed原因：allowedOrigins里没有当前访问的域名，或者改了配置没重启网关。 处理：确认域名拼写完全一致（含 https 前缀），执行openclaw gateway restart，再刷新页面。
报错二：页面能打开但一直提示需要令牌原因：网关令牌没填或填错。 处理：回到本地 OpenClaw"概览"菜单重新复制令牌，注意不要带多余空格。
报错三：设备配对一直不通过原因：openclaw devices approve的 requestId 填错，或者批准后页面没刷新。 处理：重新执行openclaw devices list确认最新 requestId，批准后强制刷新浏览器。
报错四：模型请求返回 401 或鉴权失败原因：TaoToken Key 错误、过期，或baseUrl写成了带路径的形式。 处理：确认baseUrl是https://taotoken.net/api，Key 从 https://taotoken.net/api-keys 重新复制，必要时到 https://taotoken.net/model-chat 单独验证 Key 是否可用。
报错五：cpolar 隧道显示在线但外网打不开原因：本地 OpenClaw 没启动，或端口不是 18789。 处理：本机执行curl http://127.0.0.1:18789确认服务在跑，核对隧道本地地址端口。
报错六：二级子域名配置后仍显示随机地址原因：隧道编辑后没保存，或预留的子域名和隧道里填的不一致。 处理：回隧道列表确认域名类型已切换，子域名字段与预留记录完全一致，必要时删除隧道重建。
排障过程中如果怀疑是 Key 或通道问题，优先到 https://taotoken.net/api-keys 检查 Key 状态，接入细节参考 https://taotoken.net/doc 。模型侧验证用 https://taotoken.net/model-chat 最快，长期编码任务再考虑 https://taotoken.net/coding-plan 。把这几步跑通，你的 OpenClaw 就真正从"书房里的玩具"变成了随身可用的私人 AI。
