ollama_host环境变量更改绑定地址

本地 ollama 跑起来，自己 curl 得通，同事或另一台机器连过去就一直超时——大概率是默认只监听回环地址。这篇从改法讲到验证顺序，再讲改完不生效怎么查、暴露到局域网后该做什么防护。适合运维和在自己机器上搭服务给团队用的人。

本地 ollama 跑起来，自己 curl 得通，同事或另一台机器连过去就一直超时——大概率不是防火墙，也不是端口被占，而是服务默认只监听回环地址，本机以外的请求压根没进到进程里。这篇就讲这么一件事：怎么用 OLLAMA_HOST 把监听地址改出来，改完怎么验证，以及改完不生效、暴露之后不安全这两类坑怎么排。

适合运维和在自己机器或一台内网服务器上搭服务给团队用的人。下面每一步都给了判断标准，照着走基本不会卡住；如果你只是自己本机调着玩，其实不用改，改了反而多一层风险。

先搞清楚默认为什么连不上

默认只绑回环地址，这是设计上的安全选择，不是 bug。回环地址只有本机能访问，同网段另一台机器发过来的请求在操作系统层面就进不去服务，所以表现永远是超时或连接被拒绝。这跟防火墙拦截、端口被占用是三件不同的事，排查时别混在一起。

1. 第一步：在跑 ollama 的机器上自测本机上直接请求一次服务地址。通，说明服务本身活着，问题在监听范围或网络；不通，问题在服务进程本身，先别碰网络配置。
2. 第二步：换同网段另一台机器测用另一台机器请求「跑 ollama 那台机器的 IP:端口」。这一步不通而第一步通，基本可以锁定是监听地址没放开。
3. 第三步：区分「没监听」和「被拦」在服务端机器上直接看监听状态。如果显示只绑在回环地址，那就是服务配置问题，改 OLLAMA_HOST；如果已经绑在对外地址但还是连不上，那才轮到查系统防火墙和云主机安全组。

改绑定地址的两种做法与各自适用场景

改法就两类：临时在 shell 里设，和写进服务配置长期生效。选哪种取决于你是排查问题还是给团队长期用，别一上来就往系统配置里写，排查阶段写进去容易忘了改回来。

关于「具体 IP 还是全零地址」的权衡：写具体网卡 IP 更可控，只有该网段能连进来，但换个网络环境就不通了；写全零地址到处都能连，代价是暴露面最大。改绑定地址往往要连着改端口，两者一起规划，别改一半留个半成品。

改完怎么验证，以及顺手确认端口

改完别急着喊同事再试一次，自己按顺序走完三关再交付。顺序错了，会把网络问题和应用配置问题搅在一起，越查越乱。

• 服务端自测：在跑 ollama 的机器上请求服务地址，通不过就回上一步。
• 同网段另一台机器测：换一台机器请求服务端 IP 加端口，这关才是真正的「有没有放开」。
• 用实际要接的客户端测一次：程序里配的地址、端口、协议要和前面测的一致，别测的是 A 配的是 B。
• 客户端侧排查顺序：先 ping 连通性，再测端口可达性，最后才怀疑应用配置里的地址写错。
• 容器或虚拟机里跑的要额外看一眼端口映射：宿主机改了变量但映射没放通，外面照样进不来。

验证时一个实用习惯：直接在机器上看监听状态，比反复重启服务靠谱得多，能一眼看出改没改上、绑在哪个地址。不少「改了没生效」其实是服务没重读配置，或者环境变量设在了另一个 shell 里。

暴露到局域网之后要补的几件事

服务一旦不再只监听本机，就等于把接口交给了整个可达网段。改监听地址是一次性动作，收窄暴露面才是长期要维护的事，别改通了就放着不管。

什么情况下不适用：如果这个服务是给公网或跨办公地点访问的，本文的局域网做法就不够了，应该走内网隔离、专线或带认证的反向代理方案，单纯改绑定地址只是把门开大，不是把门管好。

另外提醒一句：判断值不值得为这件事折腾，可以先去站内核对相关的价格与资源消耗数字。到 /price-watch 看当时的记录，再决定是本地自建还是直接用托管接口，别凭印象拍脑袋。