2026年 OpenClaw ゲートウェイ：固定公網 IPv4 なし（CGNAT／家庭回線）で Telegram／Discord Webhook を安定させる——IPv6・トンネル・逆プロキシと到達性検収 Runbook（リモート物理 Mac＋FAQ）

2. つまずきポイント

1. CGNAT は公網 IPv4 からあなたを隠す。 Telegram／Discord は到達可能なアドレスへ TLS を開始する必要があります。192.168.0.0/16 やキャリアグレード NAT 空間だけを外に出すと、ローカル検証は成功しても本番 Webhook は一生届きません。
2. IPv6 は「入れたら終わり」ではない。 動的プレフィックス、AAAA の欠落、IPv6 インバウンド HTTPS を落とす中間装置により、「社内では緑・現場では赤」が起きます。特にレビュアが IPv4 のみの観測点にいると再現が難しいです。
3. トンネルは運用リスクの形を変える。 Cloudflare Tunnel やメッシュの Funnel は BGP より簡単ですが、証明書更新・トンネル版数のドリフト・アカウントロックが新しい単一障害点になります。監視と、許容できる範囲での Telegram 長ポーリングへの退避を文書化してください。

3. 意思決定マトリクス：固定公網 IPv4 なしの入口

主たる入口は一つに決め、setWebhook を切り替える前にセカンダリ（例：IPv6 を主、トンネルを予備）を決めておきます。

4. 七ステップ検収 Runbook（リモート物理 Mac）

1. 証跡の固定。 curl -4 ifconfig.co と curl -6 ifconfig.co、公開 DNS への traceroute、WAN が 100.64.0.0/10 系か（CGNAT の典型信号）を記録します。
2. 入口とオーナー。 証明書更新、トンネル再起動、Discord の「URL に到達できない」時のオンコール手順の担当を決めます。
3. OpenClaw はループバックに。 ゲートウェイ HTTP を 127.0.0.1:18789（または選定ポート）に拘束し、TLS とクライアント IP ログはプロキシ／トンネル側の X-Forwarded-For で扱います。
4. エッジ設定。 TLS はフルチェーンで終端。Webhook 突発用に読み取りタイムアウトは 60 秒以上。アクセスログで 502/504 とシークレット不一致の 401 を分離します。
5. Telegram 登録。 idle スタックでは deleteWebhook のうえで setWebhook。OpenClaw 側検証と揃えた secret_token を設定。HTTPS 手順の詳細は Telegram 長ポーリング対 Webhook（逆プロキシ・409／TLS Runbook） に合わせます。
6. Discord 登録。 インタラクションの Request URL またはアプリ Webhook を同一公開ホストに向けます。署名鍵やトークンをシェル履歴に残さず、SecretRef 等でリリースに整合させます。
7. 外部検収とアーカイブ。 §5 のプローブを携帯回線（IPv4 のみ）と IPv6 可能な VPS の双方から実行し、出力を変更チケットに添付します。同一 Mac で Compose パッケージも使うなら Docker と裸機のヘルス／Ready 再現 FAQ でヘルスプローブもリハーサルしてください。

5. コピペ用の到達性チェック

tailnet／社内 VPN の外側から実行してください。Telegram／Discord も同様です。

# DNS：Telegram／Discord に登録する公開名
dig +short A bot.example.com
dig +short AAAA bot.example.com

# TLS + HTTP パス（Webhook URL に置き換え）
curl -4sv https://bot.example.com/openclaw/telegram/webhook -o /dev/null
curl -6sv https://bot.example.com/openclaw/telegram/webhook -o /dev/null

# 証明書チェーン（verify return code が 0 か確認）
echo | openssl s_client -connect bot.example.com:443 -servername bot.example.com

# 遅延のざっくり封筒（リージョンは VPS に合わせて調整）
ping -c 20 bot.example.com

curl で HTTP 200 に加え、Mac 上で構造化ログが残ることを本番宣言の最低ラインにしてください。getWebhookInfo.last_error_* の切り分けは上記 Telegram Webhook 記事に沿います。

6. 引用用パラメータ

• 443/TCP の到達： 本番コールバックは原則 443 と現代 TLS。非標準ポートはプラットフォーム非対応になりがちです。
• RTT 予算： リージョン跨ぎトンネルではエッジ→Mac の p95 RTT をおおよそ 150ms 未満を快適圏とし、250ms p95 を超えるなら上流モデル呼び出しの並列化とプロキシ読み取りタイムアウトの拡張を検討します。ベースライン測定は マルチリージョン物理 Mac の RTT／ジッター／損失 SLO 受入 のコピペコマンドと併用すると説明責任が揃います。
• シークレットローテ SLA： Telegram の secret_token と Discord の署名シークレットは、自動ロールバックログ付きで 15 分以内の変更窓に収めると、新旧シークレットの併存による取りこぼしを避けられます。

7. FAQ

8. まとめと Mac mini／macOS がこのスタックに合う理由

CGNAT は道徳ではなく経路の事実です。やることは、Telegram／Discord に 一貫した HTTPS ホスト名を提示し、その背後で OpenClaw をループバックに閉じること。IPv6・トンネル・小型リレーは、外部検収を CI の一部にしたうえで戦術として入れ替え可能です。

Mac mini M4 級の ZoneMac リモート物理 Mac は、数ワット級のアイドル電力で逆プロキシやトンネル常駐に向き、launchd でデーモン寿命を管理しやすい点、Gatekeeper／SIP／FileVault による長期露出の安心感が、Windows ユーティリティホストより運用負債が少ない点が長所です。

OpenClaw・Webhook・観測性をどこからでも SSH できる静かな実機に載せたいなら、2026 年時点でも Mac mini M4 は価格対安定性の軸として優秀です。ZoneMac でリモート物理 Mac を借り、本 Runbook を実金属でリハーサルしてから本番トラフィックを固定すると安全です。