OpenClaw调用DeepSeek API前必须确保网络直连，若curl -I https://api.deepseek.com/v1/models超时或解析失败，需先配置HTTP代理（如export HTTPS_PROXY=http://127.0.0.1:7890）或修正DNS，再验证SSL证书，否则所有配置均无效。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
OpenClaw调用DeepSeek免费API时，常因本地网络未直连DeepSeek服务端而触发超时、ConnectionRefused或SSL handshake failed，导致配置看似正确却始终无法返回结果。
确认网络是否能直通DeepSeek API服务端
在OpenClaw所在机器终端执行：curl -I https://api.deepseek.com/v1/models。
若返回HTTP/2 401或403，说明网络可达、认证环节生效；若卡住超时、报Failed to connect或Could not resolve host，则必须先解决网络层连通性问题，否则后续所有配置都无效。
国内多数办公环境默认屏蔽境外HTTPS出口，需明确启用代理——但注意：【OpenClaw自身不自动读取系统全局代理，必须显式配置】。
为OpenClaw强制注入HTTP代理（非系统级）
方法一：通过环境变量注入（推荐）
在启动OpenClaw前，于终端中运行：
export HTTP_PROXY=http://127.0.0.1:7890 → export HTTPS_PROXY=http://127.0.0.1:7890 → openclaw --config config.yaml
注意：该代理地址需与你本地运行的Clash、v2rayN或Proxyman等工具监听地址完全一致；若使用Socks5代理（如127.0.0.1:1080），OpenClaw不原生支持，必须转换为HTTP代理中转。
方法二：修改OpenClaw配置文件中的client参数块
在config.yaml的llm:节点下添加：
http_client: proxy: http: "http://127.0.0.1:7890" https: "http://127.0.0.1:7890"
此写法绕过系统环境变量，优先级更高，且支持独立为LLM模块设置代理，不影响其他插件链路。
验证DNS解析是否被污染
第一步：执行 nslookup api.deepseek.com，检查返回的IP是否属于Cloudflare或DeepSeek官方ASN（如AS13335、AS209242）。
第二步：若返回国内CDN或私有IP（如100.64.x.x、127.0.0.1），立即停用本地DNS劫持软件（如AdGuard Home、SmartDNS默认规则）。
第三步：临时改用公共DNS验证，运行：echo "nameserver 8.8.8.8" | sudo tee /etc/resolv.conf → 再次curl测试。
很多企业路由器会静默覆盖DNS响应，导致域名解析到错误IP，进而触发TLS证书不匹配或连接重置——这一步漏查，会浪费数小时反复调试headers和key。
跳过SSL证书校验（仅限调试）
当curl返回SSL certificate problem: unable to get local issuer certificate，且确认代理和DNS均正常时，可临时禁用证书验证。
在OpenClaw配置文件中找到llm:区块，添加：
verify_ssl: false
⚠️ 注意：【生产环境严禁开启此项，会暴露API Key明文传输风险】。仅用于定位是否为内网CA证书缺失导致握手失败。
若禁用后调用成功，说明本地缺少DeepSeek所用根证书（如ISRG Root X1），应导入对应CA证书至系统证书库，而非长期关闭校验。
