Ollama局域网服务部署：监听地址、反向代理、鉴权与访问控制

适用目标

把个人电脑上的Ollama安全地开放给办公室局域网使用。本文面向已经能够使用Linux命令行、但需要把环境做成可重复交付的工程人员。操作前先备份现有配置，并记录硬件型号、系统内核和当前软件版本。

准备工作

固定服务器IP，准备反向代理和仅内网可达的防火墙规则。建议建立独立测试目录和变更记录，所有命令、镜像标签、配置文件与测试结果都写入同一份实施日志。生产机器不要边排错边无记录升级。

实施步骤

设置Ollama监听地址。

使用Nginx或Caddy代理。

在代理层增加身份验证和请求大小限制。

配置模型白名单与并发限制。

关闭公网入站。

记录访问日志但不保存敏感提示词。每完成一步立即保存输出，出现异常时只回退最近一项变更。

常见误区

直接监听0.0.0.0且开放公网风险极高。

Ollama原生接口不应被当作完整企业鉴权系统。

长请求需限制token。如果现象与预期不符，应缩小到最小复现环境，不要直接在完整业务栈中猜测原因。

验证与验收

非授权设备无法访问，授权用户可调用指定模型，公网端口关闭，异常请求被限流。除一次性功能验证外，至少重复三次并进行重启复测。性能类任务必须固定输入、输出和并发口径，同时记录P50、P95和失败率。

交付清单

交付物应包含版本清单、配置文件、启动与停止命令、监控入口、已知限制、故障处理步骤和回滚方法。只有其他工程师能够依据文档重新完成部署，教程才算真正可执行。

可复现实施记录

本节把“Ollama局域网服务部署：监听地址、反向代理、鉴权与访问控制”落到可以复核的操作边界。测试对象是局域网 Ollama 服务。实施前先冻结硬件清单、系统镜像、依赖版本、模型版本和业务参数，并给每次验证分配独立记录编号。服务只监听业务网卡，通过反向代理完成 TLS、身份校验、请求体上限和访问日志；防火墙仅允许应用服务器网段。

验收数据怎么记录

不要只记录一次成功截图。冷启动和预热后各运行三轮，表格至少包含测试时间、并发数、输入长度、输出长度、首 Token 延迟、P50/P95 总延迟、吞吐、CPU、内存、GPU 显存、GPU 利用率、错误码与日志位置。用未授权主机、超长上下文和并发请求做三组验证；确认模型接口不能匿名访问，日志不记录完整敏感提示词，重启后规则仍生效。

变更与回退

上线时保留上一版镜像、配置和模型版本，先让少量真实请求进入新实例。若 P95 延迟上升超过 20%、连续错误率超过 1% 或出现无法解释的结果偏差，立即停止扩容新版本并切回旧实例。回退后仍需保存失败现场，不能用重启覆盖日志。文中的参数是复现起点，最终阈值应由实际业务请求和硬件测量结果确定。