2026 OpenClaw Gateway 보안 강화 루프백 바인딩 · 토큰 · dmPolicy / networkPolicy

1분 위협 모델: 기본 Gateway에서 가장 먼저 고칠 세 가지 축

OpenClaw의 가치는 모델과 세션을 상시 Gateway로 묶는 데 있고, 위험도 거기에 집중됩니다. 자격 증명·도구 호출·외향 통신을 동시에 쥐기 때문입니다. 온보딩이 “콘솔이 뜨면 성공”에서 멈추고 수신 주소·토큰·정책 블록이 기본값이면, 정중한 사내 비서가 아니라 추론이 붙은 원격 실행 진입점을 공개하는 셈입니다. 본 글은 Linux systemd+터널, Docker Compose 프로덕션, 크로스플랫폼 설치, 프로덕션 관측 글과 보완 관계입니다. 저쪽이 프로세스 기동과 로그 읽기라면, 여기는 노출과 권한을 감사 가능한 상태로 줄이는 이야기입니다.

Gateway를 컨트롤 플레인의 일부로 보세요. 인증을 통과한 주체는 자동화를 조종하고 설정을 읽으며, 도구를 통해 내부 API에 닿을 수 있는 경우가 많습니다. 그래서 “내 노트북에서는 됐다”는 구성이 감사에서 걸리는 것은, 토큰 유출·악성 스킬·모델 유도가 났을 때 폭발 반경을 설명하지 못하기 때문입니다. 아래 체크리스트는 패키지 논쟁 전에 플랫폼과 보안이 같은 산출물을 채점하도록 썼습니다.

다음 여섯 가지는 검토에서 가장 자주 보이는 구멍입니다. OpenClaw를 부정하는 것이 아니라 “개발 모드에서 프로덕션 모드로 넘어가야 할 신호”입니다. 이 주 안에 스캔 소음, 잘못된 접속, 무단 세션, 예상 밖 이그레스 중 두 가지 이상이 겹치면 기능 개발을 멈추고 먼저 강화하세요.

1. 01

   수신면이 너무 넓음: 0.0.0.0이나 “모든 NIC 개방”에 해당하면 관리 API와 디버그 포트가 스캐너 시야에 들어옵니다.

2. 02

   토큰이 장기 고정: 게이트웨이 토큰과 채팅 입구 토큰이 섞이고 평문 저장소나 동기 폴더에 있으면 유출에서 침해까지 거리가 매우 짧아집니다.

3. 03

   신원면이 무제한: dmPolicy 허용 목록이 없으면 새 세션이 기본 정책으로 받아들여지고, 로그만으로는 누가 언제 어떤 에이전트에 붙었는지 답하기 어렵습니다.

4. 04

   이그레스가 기본으로 넓음: networkPolicy나 이그레스 허용 목록이 없으면 프롬프트 주입이나 악성 스킬이 내부 메타데이터나 비밀 경로를 빼낼 여지가 남습니다.

5. 05

   실행면에 승인 없음: 고위험 셸·파일 작업에 사람 승인이나 이차 확인이 없으면 잘못된 프롬프트 한 번에 되돌릴 수 없는 피해가 날 수 있습니다.

6. 06

   변경이 추적 불가: JSON을 손으로 고치고 검증·doctor를 건너뛰면 롤백 때 어떤 키가 기동 거부를 만들었는지 diff 할 수 없습니다.

세 줄 우선순위로 압축하면 먼저 수신을 좁히고 → 비밀을 로테이션·금고에 넣고 → 마지막에 신원·이그레스·실행 정책을 겹친다입니다. 순서를 뒤집으면 정책은 멋져도 관리면이 공중망에서 직격받는 전형이 됩니다.

“터널이 암호화하니 Gateway는 루프백에 묶을 필요 없다”는 혼동을 피하세요. 터널은 경로 보호와 입구 통합을 맡을 뿐 프로세스 수신면 최소화를 자동으로 끝내지 않습니다. 이상적인 형태는 Gateway가 루프백 쪽 리버스 프록시나 터널 클라이언트만 신뢰하고 바깥에서 mTLS·WAF·속도 제한을 거는 것입니다. 터널 설정이 흔들리면 내부 서비스만 의도치 않게 노출될 수 있습니다.

듀얼 홈이나 호스트 네트워킹 컨테이너에서는 설정에 localhost라고 써도 실제 소켓이 다시 열리는 경우가 있습니다. OS 패치, 컨테이너 런타임, CNI 변경마다 표준 도구로 수신을 재확인하고 아키텍처 다이어그램과 맞춰 보세요. “127.0.0.1 바인딩”은 문자열이 아니라 테스트로 담보하는 성질입니다.

마지막으로 강화는 일회성 프로젝트가 아닙니다. OpenClaw 메이저 업그레이드, 모델 공급자 변경, 새 스킬마다 검증과 doctor를 다시 돌리고, 관측 글에서 말하는 이미지 digest·설정 백업과 같은 변경 기록에 차이를 남기세요. 설정 드리프트와 가용성 사고는 같은 시스템의 양면입니다.

여섯 단계 롤아웃: 루프백 바인딩에서 dmPolicy·networkPolicy 겹치기까지

전제는 Gateway 기본 설치와 로컬 헬스 체크가 끝난 상태입니다. 키 이름은 설치한 OpenClaw 버전 스키마를 따르세요. 편집 전 openclaw.json을 백업합니다. 순서는 네트워크 수신과 토큰 → 신원과 이그레스 → 마지막 실행 승인과 검증입니다.

1. 01

   루프백 바인딩: Gateway 수신을 127.0.0.1(또는 문서의 로컬 소켓 등)로 제한하고 공중에서 닿는 여분 디버그 포트가 없는지 확인합니다.

2. 02

   토큰 로테이션: 공식 CLI로 충분한 길이의 게이트웨이 토큰을 만들고 시크릿 매니저에 저장합니다. 클라우드 동기나 채팅 캡처에 토큰을 올리지 마세요.

3. 03

   dmPolicy 구성: 채팅·세션 출처 허용 목록(사용자 ID·세션 ID 단위)을 두고 미지 주체는 기본 거부. 변경 티켓에 책임자를 기록합니다.

4. 04

   networkPolicy 수렴: 기본 전체 이그레스를 끄거나 모델 API·필수 도구 도메인·내부 레지스트리를 명시한 egress_allowlist로 바꿉니다. 원격 Mac 흐름은 Apple·Xcode 관련 도메인을 별도 검토합니다.

5. 05

   실행 승인 켜기: 셸·파괴적 파일 작업 등 고영향 도구에 사람 승인 또는 동등한 이차 확인을 요구하고, 감사 로그를 관측 글에서 정의한 수집 경로로 보냅니다.

6. 06

   검증과 훈련: config:validate 후 doctor를 실행하고, 이어서 무단 세션 접속 시도와 허용 목록 밖 도메인 의도적 접근 같은 소규모 레드팀 훈련을 해 실패가 안전한 실패인지 확인합니다.

2단계와 3단계 사이에 구 토큰 위치를 전수 조사하세요. CI 변수, 백업, 개발자 도트파일까지 나열하고, 로테이션했는데 오래된 사본이 남으면 절반만 돌린 것과 같습니다. 가능하면 가장자리는 단기 토큰, 장수명 비밀은 시크릿 경계 안에만 두세요.

4단계에서는 의존 클래스를 문서화합니다: 추론, 아티팩트 가져오기, 텔레메트리, 서비스 메시 출구 등. 벤더 URL은 내부 레지스트리보다 자주 바뀌므로 검토 주기도 나눕니다. 하위 환경에서 관측한 DNS 조회와 허용 목록의 월간 diff를 자동화해 프로덕션 승격 전에 확인하세요.

// 조각: 의도 설명용. 프로덕션 전 스키마·공식 문서 준수
{
  "gateway": {
    "bind": "127.0.0.1",
    "auth": { "token": "${ENV_OPENCLAW_GATEWAY_TOKEN}" }
  },
  "dmPolicy": {
    "mode": "allowlist",
    "allowIds": ["U-INTERNAL-1", "U-INTERNAL-2"]
  },
  "networkPolicy": {
    "allow_egress": false,
    "egress_allowlist": ["api.openai.com", "api.anthropic.com"]
  }
}

JSON 스케치를 스테이징에 올린 뒤 프로덕션과 같은 Gateway 버전으로 허용·거부 경로를 통합 테스트하세요. doctor와 런타임 버전 불일치는 안심의 거짓 양성을 만듭니다. 티켓에 버전을 고정하고 설정 스냅샷과 함께 해시나 패키지 식별자를 남기세요.

참고 실무와 실행 백엔드 연동 시 점검

아래는 공개 문서와 커뮤니티 관행 요약으로, 검토에서 기대치를 맞추기 위한 것입니다. CLI 하위 명령과 스키마 필드는 설치된 OpenClaw 버전을 따르세요.

• 로컬 바인딩 우선: 많은 프로덕션 형태는 Gateway를 루프백에 두고 TLS·접근 제어는 리버스 프록시/터널에서 종료합니다. 사용자 정의 포트에 누가 닿는지는 프록시 층이 감사하기 쉽습니다.
• 이그레스 허용 목록 입자: 모델 공급자·필수 도구 도메인·내부 아티팩트/레지스트리 세 부류로 나누는 것이 흔합니다. 원격 Mac은 Apple·Xcode 업데이트 도메인이나 사내 프록시 처리를 별도로 둡니다.
• 사람 개입 게이트: 파일 삭제, 패키지 매니저 전역 설치, 클라우드 자격 증명 조작 등은 검토를 남겨 폭발 반경을 “프롬프트 한 번”에서 “티켓 한 번” 쪽으로 옮깁니다.

토큰도 이그레스 제약도 없이 Gateway를 공중에 두면 화려한 데모와 함께 SSRF·자격 증명 탈취·공급망 위험이 동시에 커집니다. macOS 빌드를 지원되지 않는 가상화에 억지로 넣으면 서명과 Metal 주변에 기술 부채가 쌓입니다. 안정적인 원격 Mac을 에이전트 실행 백엔드로 쓰고 네트워크·비밀 정책을 계약과 런북에 쓰려는 팀은 먼저 Gateway 최소 노출을 끝낸 뒤 연산을 리전·디스크 티어를 고를 수 있는 클라우드 Mac 노드에 올리는 편이 현실적입니다. 책임 분리는 이렇습니다. Gateway는 “누가 모델과 도구를 부를 수 있는가”, 원격 Mac은 “Apple 생태계 안에서 재현 가능한 빌드·릴리스 동작”, 연결은 허용 목록과 승인 체인입니다.

정책이 맞춰진 뒤 NodeMini Mac mini 클라우드 임대는 CI와 자동화를 위한 예측 가능한 macOS 환경을 얻는 선택입니다. 디스크·리전·유지보수 창을 SLA로 협상하고 1~4절 기술 통제와 맞춰 조달 문구에 넣으세요.

완료 선언 전에 소유자·증적 링크·마지막 doctor 실행일을 한 장으로 묶은 증명서를 두면 고객 보안 검토나 사내 감사에서 저장소 뒤지기보다 빨리 통과합니다.