一v2026.5.7 在五地遠端 Mac 收斂三件事
五地同跑客服與外包時，常見痛點是入站不明、模型擠單一代理、exec 過大。v2026.5.7 收斂為：DM 定誰能進，路由定代理與模型，Docker 只放行白名單；openclaw doctor 寫進 Runbook 再開線。
二pairing 與 allowFrom 決策矩陣
pairing 管一次性綁定，allowFrom 管長期網段；分欄才可還原授權。勿混臨時 pairing 與永久 allow。
| 身分 | 機制 | allowFrom | 升級 |
|---|---|---|---|
| 內部 | pairing＋短 TTL | VPN 網段 | 異動 |
| 外包 | 子帳＋pairing | 固定出口／32 | IP 變 |
| 灰流量 | 拒絕 | 不寫 | — |
三多代理與 model failover
各地域主／備代理與模型，用錯誤率或 p95 切換；寫倉庫帶版號。併發負載可對照 五地 Runner 擴容分工。
四Docker 沙箱收口 exec
可寫層、出站與 exec 收斂在映像；外包腳本進沙箱，主機留 doctor 與日誌。洩露時損害限容器內，不必整段改 allowFrom。
五doctor L1–L3
L1 只收摘要禁改網路；L2 查 pairing、代理、failover 金鑰區；L3 批 allowFrom／映像／回滾。深排見 Gateway／doctor 指南。
六低配 1TB 與 M4 Pro 2TB
低配扛日誌與只讀 doctor，1TB 滿足輪替稽核；Pro＋2TB 扛沙箱與模型快取。客服放低配，Pro 專改映像與路由。順序：盤警→擴盤→再升 Pro。
七在 Mac mini 上，這條鏈路更穩
Apple Silicon 統一記憶體減輕本機與容器互搶；Gatekeeper、SIP、FileVault 強化外圈；M4 待機約 4W、靜音，適合 7×24。先在 Mac mini M4 跑通 pairing／allowFrom 與 doctor 再上雲最省漂移——現在即可入手，把矩陣與 failover 燒進映像後再上線。
pairing／allowFrom 分權；代理＋failover 帶版號；Docker 收口 exec；doctor 分級；低配＋1TB、Pro＋2TB 分工。