2026 OpenClaw MeshMac на практике: мультиузловой шлюз — срезы логов, пороги logrotate и единый broadcast сбоев Webhook

Почему логи и webhook распадаются на mesh

1. Дрейф путей. Каждый оператор кладёт файлы в /tmp или ~/Library/Logs, централизованные tail теряют файлы, а парсеры SIEM видят разные поля.
2. Усиление webhook. Каждая повторная попытка шлюза раздувает частичный сбой в три ветки чата, если узлы по-разному интерпретируют один delivery id.
3. Сюрприз logrotate. Один Mac крутит по пятидесяти мегабайтам, другой ждёт неделю, и окно инцидента сначала теряется на самом шумном хосте.

Матрица: как держать логи на общих шлюзах MeshMac

Минимальные воспроизводимые шаги

Сначала выровняйте версии шлюза и слушатели по гайду мультиузлового деплоя OpenClaw на MeshMac, затем настраивайте логирование.

1. Зафиксируйте срез тенанта один раз. На каждом классе шлюза создайте /var/log/openclaw/tenants/{tenant_id}/gateway и /var/lib/openclaw/tenants/{tenant_id}/state. Та же строка tenant_id в YAML и окружении, чтобы шипперы не угадывали. MeshMac: один playbook, много Mac, одинаковые пути — ценность оркестрации в том, что масштабирование не плодит снежинки.

openclaw gateway status --json | tee "gw-status-${MESH_NODE_ID}.json"

2. Снимите базовый status. Сохраните mesh_node_id, uptime процесса, порты и метаданные сборки рядом с тикетом — это якорь после logrotate или правок plist.

3. Заберите свежие logs в одной шкале времени. Используйте UTC в shell, затем openclaw gateway logs --since 1h --json или текст без JSON. Отфильтруйте через jq маршруты webhook и классы ошибок, чтобы файлы оставались компактными.

openclaw gateway logs --since 1h | rg 'webhook|verify|429|5[0-9][0-9]' | tee "gw-logs-${MESH_NODE_ID}.txt"

4. Запустите doctor после ротации или plist. Пройдите более жёсткий контур из fail-closed validate и патруля дрейфа шлюза, затем openclaw gateway doctor --json для монтов, прав на корни логов и секретов. Отсутствие writable каталога тенанта — жёсткий стоп до приёма трафика.

5. Совместите пороги logrotate. Доставьте один фрагмент на каждый узел: size 100M, rotate 14, compress, delaycompress, missingok, notifempty для access и webhook-failures.jsonl. postrotate только если бинарь переоткрывает логи на reload; иначе плановый рестарт.

/var/log/openclaw/tenants/*/gateway/*.log {
  size 100M
  rotate 14
  daily
  missingok
  notifempty
  compress
  delaycompress
  copytruncate
}

6. Слейте сбои webhook перед broadcast. Соберите строки за час с каждого узла, нормализуйте delivery_id, дедуплицируйте, ограничьте двадцатью строками и отправьте один markdown блок. Паттерн как в Monday.com webhook multi-node broadcast, только приёмник — канал digest сбоев.

Оркестрация окупается, когда каждый оператор повторяет одни и те же шаги: минуты на паритет вместо часов поиска «левого» файла. На MeshMac вы заранее задаёте один шаблон узла и раскатываете его на несколько физических Mac: одинаковые plist, одинаковые корни логов и одинаковые пороги ротации снимают класс ошибок «на втором шлюзе всё по-другому», а централизованный merge digest сохраняет единый нарратив для дежурной смены.

Цифры и правила для runbook

• Порядок связки: сначала status, затем logs, затем doctor — чтобы метки времени объясняли конфигурацию, которую doctor подсветил.
• Ретенция: четырнадцать сжатых поколений по порядка ста мегабайт обычно перекрывают недельные всплески без заполнения маленьких SSD пулов.
• Ключ дедупа webhook: upstream id плюс HTTP путь плюс нормализованный код ответа, чтобы ретраи с разных узлов схлопывались.

FAQ по сбоям

doctor зелёный, а в логах TLS только на одном узле

Сравните openclaw gateway status --json по build_id и отпечатку окружения, проверьте plist LaunchAgent и системное хранилище доверия. Перезапустите сервис шлюза после правок trust: память TLS может отставать от файлов.

logrotate обрезал во всплеске webhook и пропали доказательства

Уйдите от агрессивного copytruncate к create и документированному reload при поддержке билдом. Временно поднимите rotate и выгрузите JSONL в объектное хранилище до сжатия на горячем инциденте.

Тенанты видят чужие строки в grep

Пути изолированы, но не ACL. Разведите Unix группы по тенанту, режим 0750, запретите world-readable родителей. Повторите doctor после chmod.

Чат всё ещё получает дубликаты сбоев

Централизуйте broadcast в одном воркере, читающем все узлы, или добавьте окно идемпотентности пять минут по хешу digest, чтобы побеждал только первый пост.