2026-05-14 レンタル ProxyMac Mac mini 上の OpenClaw 外向き HTTP/HTTPS プロキシ：SSH の export が「嘘」をつく理由と launchd での継承

香港・日本・韓国・シンガポール・米国 の Apple Silicon Mac mini レンタルで OpenClaw を動かすと、開発用ノート PC はすでに 企業 HTTP(S) プロキシ 経由でインターネットに出ている一方、クラウド上の mini は同じ経路を自動では継承しません。典型は SSH で export HTTP_PROXY=... するとモデル呼び出しが成功し、launchd LaunchAgent に切り替えると 環境変数がゼロ のままになり「OpenClaw の遅延」や「リージョンが悪い」と誤診するパターンです。本稿は (1) 対象の切り分け、(2) モデル障害に見える症状、(3) 4 方式のプロキシ行列、(4) 9 ステップの launchd 手順、(5) PAC・スプリットトンネル・TLS インスペクション向けの シナリオ表、(6) stdio MCP 向け NO_PROXY の落とし穴をまとめます。MCP 環境と launchd、ヘッドレス SSH チェックリスト、スプリットトンネル VPN、ゲートウェイ トークン JSON と併読してください。GUI が必要なら VNC、SKU は 料金、経路診断は ヘルプ を参照します。

OpenClaw に外向き HTTP(S) プロキシを明示しなければならないケース

まず mini のデフォルト経路が、ノート PC と同じ検査チェーンを通らず公網へ出られるかを見ます。規制銀行、グローバル ZTNA を持つ OEM、443 のみホワイトリスト SaaS のハイブリッドでは、ブラウザ以外のデーモンにも明示プロキシが求められることが多いです。セキュリティ基準が「プロキシなしの公網出口禁止」なら、OpenClaw ゲートウェイも同じ契約に従うべきです。逆にルータで透明転送されているなら NO_PROXY 調整だけで済むこともありますが、その場合もパケットや curl -v で根拠を残します。

• 定量ゲート：mini 上の SSH で curl -I https://api.openai.com が --proxy なしで 407、付与で成功なら明示プロキシ群です。
• 遅延ゲート：別大陸の中央プロキシに迂回すると往復に 180〜320 ms が乗りがちです。MCP タイムアウトをそれに合わせ、安易な並列増を避けます。
• 並列ゲート：企業プロキシは同時 CONNECT を 30〜80 程度で頭打ちにすることがあります。不安定と言う前に OpenClaw の並列度をその下に抑えます。

モデル障害や「リージョン選び直し」に見える症状

HTTP レイヤの失敗は JSONL に丁寧な「プロキシ認証が必要です」とは出ません。TLS ハンドシェイクのタイムアウト、ちょうど 60 または 120 秒で切れる接続、最初のトークンは出るがプロキシ再鍵後にストリームが死ぬ、といった形が多いです。DNS は成功するのに TCP が止まるのは、スプリット DNS が api.* を VPN 側にしかいないリゾルバへ向け、mini がそのインタフェースを持っていないときに起きます。日本 から シンガポール へワークロードを移す前に、launchd と同じプロキシ引数のループバック curl で HTTP 要因を切り分けてください。

意思決定行列：静的・PAC・透明・なし

モード	OpenClaw からの見え方	launchd への含意	主なリスク
静的 http://host:port	ライブラリが HTTP_PROXY/HTTPS_PROXY を読む	plist の EnvironmentVariables に複製必須	chmod ミスで plist が世界読み取り＋秘密混入
PAC / WPAD URL	アプリが PAC を解釈しないと未設定同然	解決済みプロキシを export するラッパーが要ることが多い	PAC JS が黙って変わる—Git で版を固定
透明 TLS インタセプト	環境変数なし、企業 CA が握手に参加	システムキーチェーンに CA を入れる	ルート CA ローテで TLS が更新まで全滅
なし（直出し）	mini リージョンから公網へ直結	ローカル MCP 用に NO_PROXY は依然必要	将来プロキシが追加されたときの偶発コンプラ漏れ

9 ステップ：SSH で証明してから launchd を一致させる

1. 変数棚卸し：HTTP_PROXY、HTTPS_PROXY、ALL_PROXY、NO_PROXY とベンダ独自キーを集める。
2. curl で証明：mini で curl -v --proxy http://proxy:8080 https://api.anthropic.com を実行し verbose を保管。
3. plist へ：成功した組を EnvironmentVariables に写す。~/.zshrc の export だけに頼らない—MCP 環境記事 を参照。
4. 秘密の分離：Basic 認証パスワードをチケットに貼らない—トークン JSON 記事 と同様のファイル運用。
5. NO_PROXY 衛生：127.0.0.1,localhost,*.local と MCP が使う RFC1918 を含める。
6. VPN 整合：ノートがフルトンネルなら、分割/フル記事 で mini の経路を先に合わせる。
7. launchctl スモーク：launchctl kickstart 後に JSONL の外向き行を SSH 前景と突き合わせる。
8. ソーク：3 並列で 500 回連続モデル呼び出しし、プロキシ接続上限を炙り出す。
9. ロールバック：plist を Git 管理。bootout から 2 分以内に旧版へ戻せる手順を用意。

企業出口シナリオ表（タイムアウト調整の前に自分の行を特定）

シナリオ	観測シグナル	OpenClaw のつまみ
EU 中央プロキシ、mini は米国	RTT が直結より > 220 ms 増	HTTP クライアントのタイムアウト延長、飛行中並列を下げる
Zscaler 型 SSL インスペクション	TLS alert unknown CA	企業ルートをシステムキーチェーンに入れ信頼キャッシュを更新
スプリットトンネルが mini サブネットを欠く	DNS は成功、SYN が完走しない	VPN クライアントの経路表を修正しノート方針をミラー
プロキシ認証が 12 時間でローテ	交代時間帯に 407 が集中	マネージド資格情報ヘルパーか短命トークン

落とし穴：NO_PROXY ミスで stdio MCP だけ壊れモデルは「元気」に見える

stdio MCP は 127.0.0.1 の高位ポートにバインドします。NO_PROXY が空だと一部 HTTP スタックがループバックまで企業プロキシへ送り、モデルは返答するのにファイル系ツールだけがタイムアウトします。逆に NO_PROXY=* はプロキシを完全バイパスしコンプラ違反になり得ます。明示のカンマ区切りにし、curl --noproxy '*' http://127.0.0.1:8765/health とプロキシ経由を対比してください。最終文字列は plist とともに ヘッドレスチェックリスト の成果物と同じリポジトリに記録し、監査で意図が読めるようにします。

export HTTP_PROXY=http://proxy.corp.local:8080 HTTPS_PROXY=http://proxy.corp.local:8080 NO_PROXY=127.0.0.1,localhost,169.254.169.254

FAQ

OpenClaw は小文字と大文字のどちらの環境変数を優先するか？ 多くのライブラリは両方受け付けます。フリートで一種類に統一し、インシデント時の二重推測を避けます。

SOCKS は ALL_PROXY か？ HTTP 非対応ツールでは多くの場合そうです。同じ curl マトリクスで検証します。

ディスクにプロキシパスワードを置けない場合は？ 短命 PAC やサイドカーでのヘッダ注入を交渉します。ヘッドレスでは対話プロンプトを避け、一度きりの信頼ダイアログは VNC で。

OpenClaw の出口を硬くする場所としての ProxyMac Mac mini

レンタル Mac mini M4 は ネイティブ macOS の信頼ストア、TLS 集約プロキシに耐える予測可能な シングルテナント CPU、そして HK / JP / KR / SG / US のリージョン選択をまとめて提供し、単一ヨーロッパ踏み台より各クラウド API リージョンへ制御面を近づけられます。SSH で証跡を残し、ヘルプ のクロスリージョン手順と 料金 の透明性を活かして、本番とステージングの出口方針を別 mini に分離することも可能です—五拠点ラックを自前購入せずに済みます。