第四部分 接到桌面工具和小团队10
小团队部署路线图
高阶35 分钟第 10 / 11 章
管理员选修。理解 llama.cpp 或 Ollama 服务、网页入口、账号、网络和备份之间的关系。
学完本章你能做到
- 画出模型服务、聊天入口和员工设备的关系
- 知道为什么团队入口不能直接暴露到公网
- 列出上线前必须有的账号、日志、更新和备份
配套练习资料
学到对应章节时，可以在这里打开配套资料。
先理解
团队部署会多出一层服务
单机时，模型、运行程序和聊天入口都在同一台电脑。团队使用时，模型服务通常放在一台固定机器上，员工通过局域网里的网页或桌面入口访问。
llama.cpp 的 llama-server 可以把 GGUF 模型作为本地服务运行，Ollama 也提供本地 API。两条路线都要先限制在受控网络内，再增加身份和访问控制。
对照看
Open WebUI 适合做受控聊天入口
Open WebUI 可以连接 Ollama 或兼容接口，为浏览器提供聊天入口。官方快速开始示例使用容器和持久化数据卷。
个人评估可以跟官方当前示例运行。团队生产要固定经过验证的版本或镜像 digest，备份数据卷，并在升级前准备回滚。滚动的 main 标签会变化，不适合作为长期不变的生产版本。
先停一下
上线前的最低清单
每个人使用独立账号，不共用管理员密码。
只允许受控网段访问，不把未鉴权的模型 API 直接放到公网。
记录模型、运行程序、网页入口和配置版本。
保留访问日志和错误日志，但不把完整敏感输入写进普通日志。
备份数据卷和配置，并实际做一次恢复。
画一张团队部署草图
这一章不要求真的开放服务。先把边界和责任写清，再决定是否实施。
- 1画出模型机器、网页入口、员工设备和网络边界
- 2标出谁负责账号、版本更新、日志和备份
- 3写下允许访问的网段或设备范围
- 4写下故障时的回退入口和恢复顺序
验收清单
- 公网没有直接连到未鉴权模型 API
- 每项运维职责都有负责人
- 版本、备份和恢复都有记录位置
- 未完成安全评审前不对真实团队开放
常见问题
可以把 11434 端口直接映射到公网吗？
不建议。Ollama 官方说明本地访问不要求鉴权，直接公开会失去单机边界。团队访问应放在受控网络和有身份校验的入口后面。
学完后记得保存进度
Completion marks stay in this browser. Sign in to remember your last chapter and reading position.