2026-05-14 렌탈 ProxyMac Mac mini에서 OpenClaw 아웃바운드 HTTP/HTTPS 프록시: SSH의 export가 ‘거짓’인 이유와 launchd 상속

홍콩·일본·한국·싱가포르·미국에 있는 렌탈 Apple Silicon Mac mini에서 OpenClaw를 돌리면, 개발 노트북은 이미 기업 HTTP(S) 프록시로 인터넷에 나가지만 클라우드 mini는 같은 경로를 자동으로 물려받지 않습니다. 흔한 시나리오: SSH에서 export HTTP_PROXY=... 하면 모델 호출이 즉시 성공하고, launchd LaunchAgent로 올리면 변수가 하나도 없어「OpenClaw 지연」이나「리전이 나쁘다」로 오판합니다. 이 글은 (1) 대상 필터, (2) 모델 버그처럼 보이는 증상, (3) 4모드 프록시 표, (4) 9단계 launchd 런북, (5) PAC·스플릿 터널·TLS 검사용 시나리오 표, (6) stdio MCP용 NO_PROXY 함정을 담습니다. MCP 환경과 launchd, 헤드리스 SSH 체크리스트, 스플릿 터널 VPN 라우팅, 게이트웨이 토큰 JSON과 함께 읽으세요. GUI가 필요하면 VNC, SKU는 요금, 경로 진단은 도움말입니다.

OpenClaw에 아웃바운드 HTTP(S) 프록시를 명시해야 하는 사람

mini의 기본 라우트가 노트북과 같은 검사 체인을 거치지 않고 공용망으로 나갈 수 있는지 먼저 봅니다. 규제 은행, 글로벌 ZTNA OEM, 443만 화이트리스트 SaaS를 쓰는 하이브리드에서는 브라우저가 아닌 데몬에도 명시 프록시가 요구되는 경우가 많습니다. 보안 기준이「프록시 없이 공용 이그레스 금지」라면 OpenClaw 게이트웨이도 같은 계약을 따라야 합니다. 반대로 라우터가 투명 전달이라면 NO_PROXY만 손보면 되는 경우도 있지만, 그때도 패킷이나 curl -v로 근거를 남깁니다.

• 정량 게이트:mini SSH에서 curl -I https://api.openai.com가 --proxy 없이 407, 붙이면 성공이면 명시 프록시 버킷입니다.
• 지연 게이트:다른 대륙 중앙 프록시로 우회하면 왕복에 180~320ms가 자주 추가됩니다. MCP 타임아웃을 그에 맞추고 무분별한 병렬 증가를 피합니다.
• 병렬 게이트:기업 프록시는 동시 CONNECT를 30~80 수준에서 막는 경우가 있습니다. 불안정이라 말하기 전에 OpenClaw 병렬을 그 아래로 내립니다.

모델 장애나 ‘리전 재선택’으로 위장하는 증상

HTTP 계층 장애는 JSONL에 정중한「프록시 인증 필요」로 잘 나오지 않습니다. TLS 핸드셰이크 타임아웃, 정확히 60 또는 120초에 끊기는 연결, 첫 토큰은 나오다가 프록시 재키잉 후 스트림이 죽는 패턴이 흔합니다. DNS는 되는데 TCP가 멈추는 것은 스플릿 DNS가 api.*를 VPN에만 있는 리졸버로 보내고 mini가 그 인터페이스를 안 올린 경우에 자주 나옵니다. 워크로드를 일본에서 싱가포르로 옮기기 전에 launchd와 동일한 프록시 플래그의 루프백 curl로 HTTP 요인을 제거하세요.

결정 표: 정적·PAC·투명·없음

모드	OpenClaw가 보는 방식	launchd 함의	주요 위험
정적 http://host:port	라이브러리가 HTTP_PROXY/HTTPS_PROXY를 읽음	plist EnvironmentVariables에 복제 필수	chmod 실수로 plist가 월드 리더블+비밀
PAC / WPAD URL	앱이 PAC를 해석하지 않으면 미설정과 같음	해석된 프록시를 export하는 래퍼가 필요한 경우가 많음	PAC JS가 조용히 바뀜—Git으로 버전 고정
투명 TLS 가로채기	환경 변수 없음, 기업 CA가 핸드셰이크	시스템 키체인에 CA 설치	루트 CA 순환 시 업데이트 전까지 TLS 전멸
없음(직결)	mini 리전에서 공망 직결	로컬 MCP용 NO_PROXY는 여전히 필요	나중에 프록시가 추가될 때 우발적 컴플라이언스 구멍

9단계: SSH 증명 후 launchd 일치

1. 변수 목록:HTTP_PROXY, HTTPS_PROXY, ALL_PROXY, NO_PROXY와 벤더 키를 모읍니다.
2. curl 증명:mini에서 curl -v --proxy http://proxy:8080 https://api.anthropic.com을 실행하고 verbose를 보관합니다.
3. plist 기록:성공 조합을 EnvironmentVariables에 복사합니다. ~/.zshrc export만 믿지 마세요—MCP 환경 글 참고.
4. 비밀 분리:Basic 비밀번호를 티켓에 붙이지 않습니다—토큰 JSON 글과 같은 파일 패턴.
5. NO_PROXY 위생:127.0.0.1,localhost,*.local와 MCP가 쓰는 RFC1918 대역을 넣습니다.
6. VPN 정렬:노트북이 풀터널이면 스플릿/풀 글로 mini 경로를 먼저 맞춥니다.
7. launchctl 스모크:launchctl kickstart 후 JSONL 아웃바운드 줄을 SSH 포그라운드와 비교합니다.
8. 소크 테스트:3웨이 병렬로 500회 순차 모델 호출해 프록시 연결 상한을 끌어냅니다.
9. 롤백:plist를 Git에 두고 bootout 후 2분 안에 이전판으로 복구할 수 있게 합니다.

기업 이그레스 시나리오 표(타임아웃을 돌리기 전에 자신의 행을 고르세요)

시나리오	관측 신호	OpenClaw 조절 레버
EU 중앙 프록시, mini는미국	직결 대비 RTT > 220ms 증가	HTTP 클라이언트 타임아웃 상향, 비행 중 병렬 하향
Zscaler형 SSL 검사	TLS alert unknown CA	기업 루트를 시스템 키체인에 넣고 신뢰 캐시 갱신
스플릿 터널이 mini 서브넷 누락	DNS 성공, SYN 미완료	VPN 클라이언트 라우팅 수정, 노트북 정책 미러
프록시 자격이 12시간마다 회전	교대 시간대 407 폭주	관리형 자격 증명 도우미 또는 단명 토큰

함정:NO_PROXY 실수로 stdio MCP만 깨지고 모델은 ‘괜찮아’ 보임

stdio MCP는 127.0.0.1 고포트에 바인딩합니다. NO_PROXY가 비어 있으면 일부 HTTP 스택이 루백까지 기업 프록시로 보내 모델은 답하지만 파일 도구만 타임아웃합니다. 반대 NO_PROXY=*는 프록시를 완전히 우회해 컴플라이언스 위반이 될 수 있습니다. 명시적 쉼표 목록을 쓰고 curl --noproxy '*' http://127.0.0.1:8765/health와 프록시 경로를 대조하세요. 최종 문자열은 plist와 함께 헤드리스 체크리스트 산출물과 같은 Git 저장소에 기록해 감사에서 의도가 보이게 합니다.

export HTTP_PROXY=http://proxy.corp.local:8080 HTTPS_PROXY=http://proxy.corp.local:8080 NO_PROXY=127.0.0.1,localhost,169.254.169.254

FAQ

OpenClaw는 소문자와 대문자 환경 변수 중 무엇을 선호하는가? 많은 라이브러리는 둘 다 받습니다. 플릿에서 한 가지로 통일해 사고 시 이중 추측을 줄입니다.

SOCKS는 ALL_PROXY인가? HTTP를 모르는 도구에서는 종종 그렇습니다. 같은 curl 매트릭스로 검증합니다.

IT가 디스크에 프록시 비밀번호 저장을 금지하면? 단명 PAC나 사이드카 헤더 주입을 협상합니다. 헤드리스에서는 대화형 프롬프트를 피하고, 일회성 신뢰 대화상자는 VNC로.

OpenClaw 이그레스를 단단히 하기 좋은 ProxyMac Mac mini

렌탈 Mac mini M4는 네이티브 macOS 신뢰 저장소, TLS 집약 프록시 홉을 견딜 예측 가능한 싱글 테넌트 CPU, HK / JP / KR / SG / US 리전 선택을 한 번에 제공해 단일 유럽 배스천보다 각 클라우드 API 리전에 제어 평면을 가깝게 둘 수 있습니다. SSH로 증거를 남기고 도움말의 크로스 리전 런북과 요금 투명성으로 프로덕션과 스테이징 이그레스 정책을 다른 mini로 나눌 수 있습니다—다섯 거점 랙을 직접 사지 않아도 됩니다.