2026 OpenClaw unter Windows und Linux: PowerShell vs. WSL2, Firmen-HTTPS-Proxy, Node-Pinning und Runbook für ein entferntes macOS-Gateway

2. Matrix: PowerShell vs. WSL2 vs. Linux-Desktop

Pro Engineer genau eine primäre Umgebung für OpenClaw-Client-Workflows wählen, dokumentieren und Node-Parität mit .nvmrc oder package.json engines erzwingen. Die folgende Matrix hilft beim Onboarding oder Laptop-Audit.

Wo Gateways und Regionen hingehören, vergleichen Sie Topologien im OpenClaw Globaler Bereitstellungs-Vergleich 2026: Wo ist die Bereitstellung am einfachsten?.

3. Sieben Rollout-Schritte (reproduzierbar)

Schritt 1 — Ziel-Node-Zweig einfrieren

OpenClaw 2026.x folgt in den Release Notes meist Node 22 LTS. 22.x in .nvmrc und einen engines.node-Bereich im Workspace committen, der die CLI konsumiert.

Schritt 2 — Node nur in der gewählten Shell installieren

Windows PowerShell (fnm-Beispiel):

winget install Schniz.fnm
fnm install 22
fnm use 22
node -v

WSL2/Ubuntu:

curl -fsSL https://fnm.vercel.app/install | bash
source ~/.bashrc
fnm install 22 && fnm use 22
node -v

Schritt 3 — Proxy-Variablen und Bypass-Listen

Großgeschriebene Variablen konsistent nutzen. Beispiel (Host/Port ersetzen):

export HTTPS_PROXY=http://proxy.corp.example:8080
export HTTP_PROXY=http://proxy.corp.example:8080
export NO_PROXY=localhost,127.0.0.1,::1,.corp.example,169.254.0.0/16

Unter Windows mit setx oder den Systemeigenschaften für den Benutzer persistieren; Terminal neu starten.

Schritt 4 — Firmen-CA-Kette vertrauen

Ausstellungskette als PEM exportieren. Unter Linux/WSL2 NODE_EXTRA_CA_FILES=/pfad/zu/corp-ca-bundle.pem im selben Shell-Profil wie OpenClaw setzen. Unter nativem Windows-Node in Trusted Root/Issuers importieren und Shells neu starten; mit npm ping oder einem minimalen node -e "https.get('https://registry.npmjs.org')" prüfen.

Schritt 5 — OpenClaw-CLI installieren und Versionen ausgeben

Paketname und Flags aus internem Spiegel (z. B. Artifactory) übernehmen. In jedem Ticket openclaw --version, Node- und OS-Build mitschicken—das halbiert viele „mystische Disconnects“.

Schritt 6 — macOS-Gateway mit einer Tunnel-Disziplin erreichen

SSH--L aus derselben Umgebung wie die CLI anlegen. Beispiel: ssh -N -L 18787:127.0.0.1:18787 user@mac-host (Ports an Gateway-Bind anpassen). Bei Tailscale Serve zuerst lokale Mac-Healthchecks grün verifizieren, bevor URLs an Clients gehen.

Schritt 7 — Mit curl aus genau dieser Shell verifizieren

curl -v http://127.0.0.1:18787/health (oder dokumentierter Health-Pfad) und Header mit einem curl auf dem Mac gegen 127.0.0.1 vergleichen. Abweichungen zeigen fast immer falsche Bind-Adresse, falschen Port oder einen Tunnel im anderen Subsystem.

4. Kennzahlen und Policy-Hebel

5. FAQ und symptomorientierte Fehlersuche

PowerShell oder WSL2 installieren?

Siehe Abschnitt 2. Die falsche Antwort ist „beides ohne Pinning“. Wenn Security Windows-Trust-Stores vorschreibt, Standard PowerShell; wenn Automatisierung Bash-first ist, vollständig WSL2 und Tunnel dort ausführen.

TLS-Fehler nur in npm/pnpm

Der Browser vertraut dem MITM über den OS-Store; Node übernimmt das nicht automatisch. CA für die Laufzeit importieren, nicht nur für den Browser. strict-ssl=false nur für enge Packet Captures.

PowerShell erreicht das Gateway per curl, WSL2 nicht

Forward unter Windows angelegt, CLI läuft in WSL2 (oder umgekehrt). Tunnel im Subsystem neu aufsetzen, das den OpenClaw-Prozess besitzt, oder an die für Ihren Windows-Build dokumentierte WSL2-Adresse weiterleiten.

HTTP 502 oder leere UI durch den Tunnel

Zuerst Gateway auf dem Mac mit Localhost-curl beweisen. Schlägt das fehl, Gateway-Dienst neu starten und launchd-Logs prüfen. Wenn Mac-lokal funktioniert: -L-Reihenfolge, lokale Portkollisionen und ob fälschlich HTTPS angenommen wurde, obwohl auf Loopback HTTP gesprochen wird.

6. Warum ein physisches Mac-Gateway auf Apple Silicon Sinn macht

Die Client-Arbeit in diesem Runbook ist nur die halbe Geschichte: Das OpenClaw-Gateway unter macOS profitiert von der Unified-Memory-Bandbreite bei parallelen Agent-Lasten, launchd-tauglicher 7×24-Planung und einer Unix-Toolchain, die zu viel CI-Automation passt. Ein Mac-mini-Knoten liegt im Leerlauf bei etwa 4 W und bleibt bereit für SSH-Forwards und Health-Probes—leichter zu rechtfertigen als ein Tower im Schrank.

macOS stapelt zudem Gatekeeper, SIP und FileVault so, dass Drive-by-Risiken gegenüber typischen Windows-Laptop-SOEs geringer ausfallen—relevant, wenn langlebige Tokens neben dem Gateway liegen. Soll der Pfad aus Abschnitt 3 langweilig stabil bleiben, Gateway auf leiser, effizienter Apple-Hardware betreiben und Windows/Linux strikt als kontrollierte Clients führen.

Für verteilte Teams sind Mac mini M4-Knoten ein pragmatischer Kompromiss aus Latenz und Betriebskosten—ZoneMac-Knoten ansehen, wenn Sie dieses Runbook mit produktionsreifen macOS-Hosts verbinden wollen.