龙虾 OpenClaw 端口放行策略：18789端口的安全配置

核查 firewalld 或 ufw 的运行状态，确认当前系统未拦截 18789 端口。执行 systemctl status firewalld 查看服务状态，若显示 active (running) 记录当前策略版本。执行 netstat -tlnp | grep 18789 检查龙虾 OpenClaw 服务是否已监听该端口，若返回结果包含 LISTEN 字样，确认进程 PID 与 ss -lntp | grep 18789 输出一致。
备份现有防火墙规则文件，防止配置失误导致断网。执行 cp /etc/firewalld/zones/public.xml /etc/firewalld/zones/public.xml.bak 保存原始文件。若使用 ufw，执行 cp /etc/ufw/ufw.conf /etc/ufw/ufw.conf.bak 完成存档。核对备份文件的 md5sum 值与源文件是否完全匹配。

放行 18789 端口的 TCP 与 UDP 协议流量。针对 firewalld 执行 firewall-cmd --permanent --add-port=18789/tcp 写入永久规则，随后执行 firewall-cmd --permanent --add-port=18789/udp 放行 UDP 通道。执行 firewall-cmd --reload 重载配置使策略生效。针对 ufw 系统，依次执行 ufw allow 18789/tcp 与 ufw allow 18789/udp 完成开放。
收敛源 IP 访问权限，仅允许指定可信网段通信。编辑 /etc/firewalld/zones/public.xml 添加 <rich-rule> 节点，限定白名单 IP 段为 192.168.1.0/24。使用 firewall-cmd --permanent --remove-port=18789/tcp 删除全局放行规则，避免未授权 IP 穿透防护层。

部署速率限制策略，拦截针对 18789 的暴力探测。执行 iptables -A INPUT -p tcp --dport 18789 -m state --state NEW -m recent --set --name OPENCLAW 标记新连接请求。执行 iptables -A INPUT -p tcp --dport 18789 -m state --state NEW -m recent --update --seconds 60 --hitcount 20 --name OPENCLAW -j DROP 丢弃超限请求。执行 iptables-save > /etc/iptables/rules.v4 固化内存中的 iptables 规则。

执行本地与远程连通性验证。使用 telnet <服务器公网IP> 18789 建立 TCP 握手。观察终端是否返回 Connected 提示符，若提示 Connection refused 排查龙虾 OpenClaw 配置中的 bind_address 是否错误绑定至 127.0.0.1。使用 nmap -p 18789 <目标IP> 扫描端口状态，核对输出结果中的 STATE 字段是否显示为 open。模拟白名单外 IP 发起请求，确认防火墙直接静默丢弃。
配置流量监控告警与日志轮转。编辑 /etc/rsyslog.d/firewall.conf 重定向 kern.warning 日志至 /var/log/fw_port18789.log。部署 fail2ban 服务，编写 /etc/fail2ban/jail.local 定义 [openclaw] 过滤段，设置正则表达式匹配端口拒绝记录。启动 fail2ban-client start 守护进程，观察 Active: active (running) 状态行。配置 /etc/logrotate.d/fw_logs 规则按天切割，保留最近 30 份历史记录，避免磁盘空间耗尽导致服务崩溃。