在一台性能较强的电脑上运行 Ollama，再让笔记本、手机或局域网应用共享模型，是家庭实验室与小型团队常见的部署方式。🔧 不过，远程访问意味着 API 将从“仅本机可用”变为“网络内可访问”，如果缺少访问控制，任何能够连接端口的设备都可能调用模型、占用 CPU/GPU 和读取模型列表。因此，配置时应同时处理监听地址、防火墙、身份认证与传输加密。
一、理解 Ollama 的网络访问方式
Ollama 通常通过 11434 端口提供 HTTP API，本机客户端使用 127.0.0.1:11434 访问。根据 Ollama 身份认证说明，本地 API 默认不要求身份认证。这种设计适合单机环境，但不应把原生端口直接暴露到互联网。
局域网访问的基本原理，是通过 OLLAMA_HOST 修改服务监听地址。使用 0.0.0.0:11434 表示监听所有网络接口，配置简单，但暴露范围较大；若服务器拥有固定局域网地址，更建议绑定指定地址，例如 192.168.1.20:11434，以减少不必要的入口。
二、Linux 环境配置远程访问
Linux 安装通常以 systemd 服务运行，此时在普通终端中执行临时环境变量不会自动影响后台服务。可使用以下方式创建服务覆盖配置：
sudo systemctl edit ollama
[Service]
Environment="OLLAMA_HOST=192.168.1.20:11434"
保存后重新加载配置并重启服务：
sudo systemctl daemon-reload
sudo systemctl restart ollama
sudo systemctl status ollama
如果服务器地址由 DHCP 动态分配，可暂时使用 0.0.0.0:11434，同时务必通过防火墙限定来源网段。完成后运行 ss -lntp 检查 11434 端口，确认监听地址不是仅限 127.0.0.1。Ollama 的环境变量配置方式也可参考 FAQ 配置说明。
三、Windows 与 macOS 配置要点
Windows
先从系统托盘完全退出 Ollama，再打开“编辑系统环境变量”，新增用户变量 OLLAMA_HOST，值填写服务器的局域网地址与端口，例如 192.168.1.20:11434。保存后重新启动 Ollama，并在 Windows Defender 防火墙中创建入站规则，只允许“专用网络”及可信局域网地址访问 TCP 11434。
macOS
通过 launchctl 设置应用环境变量，然后退出并重新启动 Ollama：
launchctl setenv OLLAMA_HOST "192.168.1.20:11434"
如果修改后没有生效，应确认菜单栏中的 Ollama 已完全退出，而不是仅关闭窗口。不同安装方式的服务管理方法可能存在差异，排查时可结合 Ollama CLI 文档检查启动方式。
四、验证局域网连接与 API
先在服务器本机访问模型列表接口：
curl 来源链接
确认本机正常后，再从另一台局域网设备把地址替换为服务器 IP：
调用生成接口时，请使用已实际下载的模型名称：
curl 来源链接 -d '{"model":"你的模型名称","prompt":"请简单介绍局域网部署","stream":false}'
若本机正常而远程超时，优先检查服务器 IP、系统防火墙、路由器访客网络隔离以及虚拟机或容器的端口映射。若返回“模型不存在”，则应先在服务器执行 ollama list 核对模型名称，而不是继续修改网络配置。
五、API 安全加固的核心措施
- 限制来源网段：只允许办公网或家庭网的固定网段访问 11434，拒绝公网以及访客 Wi-Fi。防火墙规则应优先采用白名单，而不是全部放行。
- 避免路由器端口映射：不要把 11434 直接映射到公网。确有异地访问需求时，优先使用可信 VPN、组网工具或 SSH 隧道，让 Ollama 继续监听本机地址。🔐
- 增加反向代理认证：团队共享场景可让 Ollama 仅监听 127.0.0.1，再由 Nginx、Caddy 等反向代理提供 HTTPS、身份认证、访问日志、请求体大小限制和超时控制。
- 配置请求限速：对单个客户端的请求频率和并发数设置上限，防止错误脚本持续提交生成任务，耗尽显存、内存或计算资源。
- 谨慎开放浏览器跨域：只有网页前端确实需要直连 API 时，才配置 OLLAMA_ORIGINS。应填写明确的前端域名，避免使用通配符。CORS 只限制浏览器跨域行为，不能替代认证或防火墙。
- 保护输入内容：不要向共享实例提交密码、私钥、内部配置和个人敏感信息。即使模型本地运行，反向代理日志、应用日志或终端历史也可能保留请求内容。
六、推荐的安全部署结构
仅供可信家庭局域网使用时，可采用“客户端 → 防火墙白名单 → Ollama”的结构，并将访问范围限制在指定子网。多人协作或跨网络使用时，更稳妥的结构是“客户端 → VPN 或 HTTPS 反向代理 → 认证与限速 → 本机 Ollama”。这样既能隐藏原生服务端口，也便于统一吊销账号、审计访问和调整安全策略。
反向代理配置完成后，应确认外部客户端只能访问代理端口，而无法绕过代理直接连接 11434。还要定期更新 Ollama 与操作系统补丁，检查异常请求、持续高负载和陌生来源地址，并对不再使用的账号或防火墙规则及时清理。🛡️
总结
Ollama 局域网远程访问并不只是修改 OLLAMA_HOST。正确顺序应当是：先确定最小监听范围，再设置防火墙白名单，随后验证 API，最后根据使用场景增加 VPN、HTTPS、认证、限速与日志审计。对于原生 API，最重要的原则是不要直接暴露到公网；让 Ollama 留在受控网络或反向代理之后，才能在便利性与安全性之间取得更可靠的平衡。✅
