VPS防火墙配置实战：18789端口内网访问限制完整指南

# 查看当前防火墙规则
iptables -L -n

# 查看端口监听状态
netstat -tlnp | grep 18789

# 查看 Docker 端口映射
docker ps
docker port <container_id>

# 原来的端口映射（有问题）
docker run -p 0.0.0.0:18789:18789 ...

# 停止并删除旧容器
docker stop <container_id>
docker rm <container_id>

# 使用 127.0.0.1 绑定（仅本地访问）
docker run -p 127.0.0.1:18789:18789 ...

# 或者使用内网 IP 绑定
docker run -p 192.168.x.x:18789:18789 ...

# 允许特定端口
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
iptables -A INPUT -p tcp --dport 8443 -j ACCEPT

# 限制 18789 仅内网访问
iptables -A INPUT -p tcp --dport 18789 -s 192.168.0.0/16 -j ACCEPT
iptables -A INPUT -p tcp --dport 18789 -j DROP

# 创建自定义网络（仅内网）
docker network create --subnet 192.168.200.0/24 internal_network

# 容器加入内网网络
docker run --network internal_network ...

# 1. 查看容器运行状态
docker ps | grep openclaw

# 2. 查看端口映射
docker port <container_id>

# 3. 测试公网访问（从有公网IP的机器测试）
curl http://127.0.0.1:18789/
curl http://<内网IP>:18789/

# 4. 从另一台机器测试内网访问
curl http://<VPS内网IP>:18789/

# 1. 停止容器
docker stop openclaw-gateway

# 2. 删除容器（保留镜像）
docker rm openclaw-gateway

# 3. 重新启动，绑定到 127.0.0.1
docker run -d \
  --name openclaw-gateway \
  -p 127.0.0.1:18789:18789 \
  -p 127.0.0.1:9229:9229 \
  -v /opt/openclaw:/data \
  openclaw/gateway:latest

# 1. 安装 ufw（如果未安装）
apt install ufw

# 2. 配置规则
ufw allow 22/tcp    # SSH
ufw allow 443/tcp   # HTTPS
ufw allow 8443/tcp  # 自定义端口

# 3. 限制 18789 仅内网
ufw allow from 192.168.0.0/16 to any port 18789
ufw deny 18789

# 4. 启用防火墙
ufw enable

# 1. 从本地测试
curl http://127.0.0.1:18789/  # 应该成功

# 2. 从内网其他机器测试
curl http://<VPS内网IP>:18789/  # 应该成功

# 3. 从公网测试（模拟）
# 如果有公网机器，执行：
curl http://<VPS公网IP>:18789/  # 应该失败

# 4. 查看日志确认
docker logs openclaw-gateway

# 1. 不使用 0.0.0.0 绑定
-p 127.0.0.1:8080:8080

# 2. 使用只读文件系统
--read-only

# 3. 限制容器资源
--memory=512m --cpus=0.5

# 4. 不以 root 运行
--user 1000:1000

# 1. 检查端口暴露情况
ss -tlnp | grep -E ':(22|80|443|18789|9000)\s'

# 2. 检查 Docker 网络
docker network ls
docker network inspect bridge

# 3. 检查防火墙规则
iptables -L -n -v