2026-05-13 OpenClaw на арендованном headless Mac mini: чек-лист первого SSH-запуска до launchd, MCP и ночных агентов

Команды, которые арендуют Mac mini на Apple Silicon у ProxyMac с узлами в Гонконге, Японии, Южной Корее, Сингапуре и США, часто сначала заходят по SSH—без Finder и демонстрации экрана—и хотят сразу повесить OpenClaw на launchd. Самая дорогая ошибка — пропуститьпредполёт перед первым запуском: таймауты MCP списывают на сеть, игнорируядавление на диск; «нет API-ключа» считают багом продукта, хотяnon-login shell не наследует переменные. В статье (1) аудитория и определение готовности, (2) три измеримых сигнала до установки, (3) пятиколоночнаяматрица предполёта, (4) семишаговый SSH-ранбук для Confluence, (5) таблица симптом → действие, со ссылками на установку и развёртывание, среду MCP и launchd, JSON токена шлюза и восстановление launchctl. Для ручных диалогов macOS — VNC. Спецификации — цены. Маршруты — справка.

Аудитория и определение «готово»

Для платформенных инженеров и владельцев автоматизации, которые используют mini как постоянный шлюз OpenClaw с инструментами MCP и наблюдаемостью JSONL. «Готово» — после холодной перезагрузки повторный вход по SSH в течение 90 секунд, LaunchAgent поднят без ручного удержания сессии ssh, иструктурированные логи подтверждают проверки здоровья модели и инструментов. Если после каждого ребута коллеги снова делают export, это не готово — технический долг, который взорвётся на пике параллельных агентов.

• Числовые цели: том APFS для JSONL и кэша моделей держать минимум на 25 % свободно; кратко ниже 15 % только в запланированное окно обслуживания.
• Реальность задержек: зафиксировать RTT с админского ноутбука до региона; если control plane API на другом континенте, закладывать 120–220 ms кругового пути для таймаутов MCP.
• Бюджет параллелизма: на пике моделировать четыре одновременных рукопожатия MCP по дескрипторам файлов, прежде чем говорить «сеть в порядке».

Три сигнала до запуска любого установочного скрипта

Сначала снимок df -h и diskutil apfs listSnapshots / — append-логи OpenClaw и снимки APFS от миграций легко конфликтуют. Затем вывод sysctl hw.optional.arm64 и uname -m, чтобы подтвердить arm64 Apple Silicon (избежать смеси Rosetta/Node). Третье — сравнить ssh host 'command -v openclaw' и ssh -t host zsh -lic 'command -v openclaw'; при расхождении вы крутитесь в том же launchd-круге, что и в статье про среду MCP. Три вывода в тикет — смена получает факты, а не «как делали раньше».

Матрица предполёта: артефакт, владелец, проверка, откат, радиус взрыва при пропуске

Артефакт	Учётная запись	Проверка	Откат	Если пропустить
Рабочий каталог	тот же UID, что у LaunchAgent	ACL-аудит ls -le	архив, затем install -d -o	тихие полузаписи при установке инструментов
Путь JSONL	роль, например _openclaw	квота и политика ротации	бэкап, усечь, ужесточить ротацию	ночные пики записи заполняют том
plist ProgramArguments	домен LaunchAgent не root	plutil -lint + git diff	launchctl bootout, вернуть plist	циклы запуска съедают CPU-квоту
Секреты провайдера модели	связка ключей или файл mode 600	неинтерактивная проба с таймаутом	ротация ключей, очистка кэша	утечки между тенантами в общей лаборатории
Список сервисов MCP	фиксированный SHA в репозитории	контрольная сумма + часть openclaw doctor	checkout предыдущего SHA	дрейф схемы ломает агентов

Семишаговый SSH-ранбук (готов для Confluence)

1. Базовая линия диска: ниже 25 % свободно — установку не продолжать; сначала чистка или более крупный SKU — см. цены.
2. Время: здоровый NTP; рядом с конфигом пометить date -u и намерение по региону (HK / JP / KR / SG / US) для корреляции логов.
3. Установка/обновление OpenClaw: по руководству по установке, но только после успешного снимка PATH.
4. Зафиксировать PATH в plist: включить /opt/homebrew/bin и нужные менеджеры рантайма — без скрытого наследования.
5. Двойной дымовой тест: шлюз в SSH на переднем плане, затем те же аргументы через launchctl kickstart; сравнить строки стартового токена в JSONL.
6. Подключить диагностику: по гайду по логам включить JSONL и проверить ротацию; за 48 часов файлы не растут бесконечно.
7. Передача: владелец перезагрузки и уровни алертов; ссылка на восстановление; хэш plist в тикете.

Симптом → вероятная причина → первое действие (по-прежнему только SSH)

Симптом	Причина	Действие
код выхода MCP 127	PATH усечён под launchd	абсолютные пути или тонкая обёртка в plist
CPU шлюза в простое 95 %	тесный poll или блокировка записи лога	латентность тома JSONL; ротация по гайду логов
ошибки авторизации только после ребута	токен только в profile shell	перенести в EnvironmentVariables plist или связку ключей — см. статью о токенах
рукопожатие «висит» ~40 с	DNS или rate limit маскируются под потерю пакетов	снизить параллелизм; явные тесты резолва на mini

От SSH к VNC (и держать редко)

Случаи TCC, решаемые профилями, правами и plist, остаются на SSH. VNC, когда нужно нажать «Запись экрана», смотреть GPU UI-автоматизацию или помочь дизайнеру без чтения JSONL. Короткие сессии: меньше глубина цвета, приостановить крупные scp, совместить с настройкой межрегиональной задержки для мыши. Многие кластеры OpenClaw в HK / JP / KR / SG / US нуждаются в VNC раз на поколение железа, а не каждую неделю.

FAQ

Обязателен ли Homebrew? Нет — но если документация молча предполагает, зафиксируйте PATH в матрице, иначе инциденты повторятся.

Всегда личный админ-аккаунт? Для демо да; в проде — роли, ограниченный sudo, явные владельцы логов.

Корпоративный HTTP-прокси? Если SSH использует ProxyCommand, исходящий MCP может быть таким же — сначала выровняйте сетевые статьи, потом вините OpenClaw.

Почему ProxyMac Mac mini подходит для headless OpenClaw

Арендный Mac mini M4 сочетает нативный macOS и предсказуемый single-tenant CPU — удобно, когда OpenClaw оркестрирует только цепочку Apple, а эксплуатация остаётся на Linux-ноутбуках. Шлюз в HK / JP / KR / SG / US приближает control plane к регионам API без пяти собственных стоек. После чек-листа сохраняется та же «металлическая» экономика, что в CI: сравните цены, отработайте аварийный SSH в справочном центре, держите VNC в резерве, не на критическом пути.