NixOS заменил Arch для ИИ-ассистента: один конфиг вместо ручной сборки OpenClaw

Блогер-девопс полгода работал на Arch Linux, пока одно обновление ядра не сломало VPN-клиент AmneziaWG, а попытка починить обрушила интернет целиком. Откат через snapper не сработал, бэкап домашнего каталога оказался повреждён. Вместо возврата на Arch автор выбрал NixOS, декларативный дистрибутив Linux, где вся система описывается одним конфигурационным файлом и собирается воспроизводимо. Переход потребовал переписать конфигурации с нуля, но дал предсказуемость: то, что на Arch ломалось после каждого обновления, в NixOS фиксируется строкой в конфиге.

Что понадобится

• Компьютер с Linux или загрузочная флешка NixOS. Автор работал на Ryzen 5 1400, RX 560 (4 ГБ видеопамяти), 16 ГБ оперативной памяти. Более мощное железо не требуется, потому что тяжёлые вычисления выполняет удалённая модель.
• Аккаунт Z.ai для бесплатного доступа к языковой модели GLM-4.7-Flash (контекстное окно 200 000 токенов, то есть примерно 150 000 слов за один диалог).
• Telegram-бот (создаётся через BotFather) для управления ассистентом из мессенджера.
• Базовое знакомство с терминалом Linux. Опыт работы с NixOS не обязателен, но понимание команд вроде cd, nano, git сэкономит время.
• Время: от двух до четырёх часов на первую настройку. У автора на Arch уходило около получаса, на NixOS дольше из-за внедрения долгосрочной памяти.

Пошаговая инструкция

1. Установите NixOS и настройте VPN.

После установки NixOS с загрузочной флешки VPN-клиент AmneziaWG описывается прямо в системном конфиге. На Arch это требовало ручной отладки, здесь хватает 10-15 строк:

systemd.services.amneziawg = {
  description = "AmneziaWG VPN Tunnel";
  after = ["network.target"];
  wantedBy = ["multi-user.target"];
  path = with pkgs; [amneziawg-tools amneziawg-go iproute2 bash iptables];
  environment = {
    WG_QUICK_USERSPACE_IMPLEMENTATION = "amneziawg-go";
  };
  serviceConfig = {
    Type = "oneshot";
    RemainAfterExit = "yes";
    ExecStart = "${pkgs.amneziawg-tools}/bin/awg-quick up awg0";
    ExecStop = "${pkgs.amneziawg-tools}/bin/awg-quick down awg0";
  };
};

2. Убедитесь, что локальный инференс (выполнение модели на вашем компьютере) вам не подходит, или подходит.

Автор попробовал Ollama. Модель llama3.2:1b на 1 миллиард параметров отвечала быстро, но выдавала бессмыслицу: на русское приветствие присылала текст на китайском. Модель qwen2.5:7b на 7 миллиардов параметров зависала намертво. На 4 ГБ видеопамяти крупные модели не помещаются. Если у вас похожее железо, переходите к облачному API.

3. Подключите бесплатный API Z.ai.

На сайте Z.ai доступны бесплатные модели GLM-4.7-Flash и GLM-4.5-Flash. Автор выбрал более новую GLM-4.7-Flash. Контекст 200 000 токенов (токен, это минимальная единица текста для модели, примерно три четверти слова). Минус: в часы пик ответа приходится ждать 10-15 минут.

4. Опишите OpenClaw одним конфигом через nix-openclaw.

Модуль nix-openclaw объединяет три компонента: overlay (наложение пакетов), home-manager module (модуль пользовательских настроек) и systemd user service (системная служба). Ключевой фрагмент конфигурации:

programs.openclaw = {
  enable = true;
  workspace.bootstrapFiles = {
    agents = "${openclaw-workspace}/AGENTS.md";
    soul = "${openclaw-workspace}/SOUL.md";
    tools = "${openclaw-workspace}/TOOLS.md";
    identity = "${openclaw-workspace}/IDENTITY.md";
    user = "${openclaw-workspace}/USER.md";
  };
};

Пять bootstrap-файлов в ~/.config/openclaw/ загружаются в контекст при старте шлюза (gateway). Файл AGENTS.md содержит инструкции, например: «общайся на русском языке, перемещайся по файлам и запускай команды».

5. Добавьте долгосрочную память.

Память подключается бэкендом qmd. Плагин summarize сжимает историю диалогов, а peekaboo показывает, что ИИ-агент (программа, самостоятельно выполняющая задачи) видит в браузере:

memory.backend = "qmd";
agents.defaults = {
  model.primary = "openai/glm-4.7-flash";
  thinkingDefault = "low";
  compaction.reserveTokensFloor = 20000;
};

Параметр reserveTokensFloor = 20000 резервирует 20 000 токенов под сжатую историю, чтобы ассистент помнил контекст прошлых разговоров.

6. Зашифруйте токены через agenix.

Чтобы ключи API не лежали открытым текстом в git-репозитории, автор использовал agenix. Утилита шифрует секреты age-ключом; расшифровка происходит только при сборке системы. Файлы лежат в /run/agenix/, доступны только владельцу, изменить на лету нельзя, только пересобрать:

"secrets/openclaw-telegram-token.age".publicKeys = [ system ];
"secrets/openclaw-zhipu-key.age".publicKeys = [ system ];
"secrets/openclaw-gateway-token.age".publicKeys = [ system ];

7. Проверьте через Telegram-бота.

Gateway подключается к Telegram Bot API. Напишите задачу боту, ИИ-агент выполнит её на сервере и пришлёт результат. Elevated tools дают агенту доступ к файловой системе и командной строке.

Что делать с этим прямо сейчас?

Авторам Дзена. Telegram-бот с долгосрочной памятью, это черновой помощник, который помнит ваши прошлые запросы. Можно поручить ему сбор фактуры, проверку структуры текста, генерацию вариантов заголовков. Бесплатный API Z.ai снимает вопрос бюджета, но будьте готовы к очередям.

Маркетологам. Конфигурация воспроизводима: один файл описывает всего ассистента. Это значит, что настройку можно передать коллеге или развернуть на втором сервере без ручной отладки. Для команды из нескольких человек экономия часов.

Предпринимателям в РФ и СНГ. NixOS и Z.ai доступны без ограничений по региону. Железо уровня Ryzen 5 1400 с 16 ГБ оперативной памяти стоит на вторичном рынке недорого. Полноценный ИИ-ассистент с памятью и Telegram-интерфейсом собирается за один вечер без подписок и без зависимости от сервисов, блокирующих российские IP.

Один конфигурационный файл вместо десятка ручных действий, это не магия NixOS, а стандартный подход инфраструктуры как кода, который пришёл в персональные рабочие станции. Если у вас бюджетное железо и вы готовы разобраться в синтаксисе Nix, вечер настройки даст ИИ-ассистента с памятью, Telegram-ботом и VPN, который не сломается от следующего обновления.