很多人在自己电脑上跑通了 Ollama，本机 curl 一切正常，可同一 Wi-Fi 下的笔记本、同事的台式机就是连不上，报连接被拒绝或者一直转圈。问题基本不在模型，而在 Ollama 默认只监听本机回环地址，外面的机器根本进不来。这篇按「先确认现象、再改监听、再放防火墙、最后验证」的顺序走一遍，并说明什么网络环境不适合这么干。
很多人在自己电脑上把 Ollama 跑通了，本机 curl 一切正常，可同一 Wi-Fi 下的笔记本、同事的台式机就是连不上，要么提示连接被拒绝，要么一直转圈没反应。这时候先别怀疑模型或者显卡，九成的问题出在网络层：Ollama 默认只监听本机回环地址，外面机器的请求根本进不来。
下面按「先确认现象、再改监听、再放防火墙、最后验证回退」的顺序走一遍。整个过程不动模型本身，只改服务怎么对外说话，所以改坏了回退也很快。要注意的是，这套做法只适合你信任的局域网，公网环境下不建议这么开。
先分清：是服务没起，还是根本不让外网进
本机能通，说明模型加载、服务启动都没问题，故障点就只剩两处：监听地址和网络放行。先在本机确认服务在跑、端口在听，再去另一台机器复现同一个请求，两边的报错含义完全不同，别一上来就翻配置文件。
| 现象 | 大概率原因 | 下一步动作 |
|---|---|---|
| 本机也连不上 | 服务没起或崩了 | 先看服务进程和日志，跟网络无关 |
| 本机通、别的机器提示拒绝连接 | 监听地址锁在回环 | 改监听地址，见下一节 |
| 本机通、别的机器一直转圈超时 | 被防火墙或网络隔离挡住 | 查系统防火墙和路由器设置 |
| 改了配置还是老样子 | 服务没重启或改错文件 | 确认改的是生效的那份配置并重启 |
- 在本机用 curl 走一次本地地址，确认服务活着
- 换成本机的局域网 IP 再 curl 一次，看是不是已经能通
- 到另一台机器用同样命令复现，记录是拒绝还是超时
- 两种提示分开处理，不要混着排查
改监听地址：让服务愿意接外来的请求
核心动作是把监听地址从本机回环改成全网卡，或者只绑到那张实际通信的网卡 IP 上。改法分临时和持久两种：临时只对当前这次启动生效，适合先验证；持久要写进服务配置或环境变量，重启后依然有效。
- 先找到真实网卡 IP在本机查一下当前网卡的局域网地址，确认这台机器在局域网里到底是哪个 IP。多网卡、虚拟机、Docker 桥接环境里特别容易搞错，绑到一张没人能到的网卡上，改完照样连不上。
- 临时改监听验证用环境变量的方式临时把监听地址设成全网卡，重启服务后立刻从另一台机器测一次。这一步只验证思路对不对，不写进任何配置文件，测完可以随时丢掉。
- 确认生效再持久化临时验证通过后，再把这个设置写进服务配置或环境变量文件，让每次启动都带上。写完记得重启服务再复测一遍，别只看文件改了就当成功。
- 验证监听状态在本机看一下端口到底听在哪个地址上，确认不是还锁在回环。这一步能直接排除「以为改了其实没生效」的情况。
防火墙与端口：地址对了还连不上就看这里
地址改对了还是连不上，就往防火墙方向查。系统防火墙、云主机安全组、路由器隔离这三层都可能拦，按从内到外的顺序排查，一层层确认，不要一次改一堆东西，不然出了问题不知道是谁的锅。
- 同一路由器下连不通，先确认是不是开了客户端隔离，这种网络改服务端配置永远无效
- 放行端口时限定来源网段，别图省事对所有来源开放，尤其机器还连着公网的时候
- 容器里跑的情况另算：容器端口映射和宿主监听是两码事，得分别确认
- 云主机还要单独看安全组规则，本机防火墙通了不代表外部能进
- 客户端隔离
- 路由器把同网段设备互相隔开的开关，开了之后设备之间本来就不通
- 来源网段
- 放行规则里限定只能从哪段 IP 进来，比全放开安全得多
- 端口映射
- 容器把内部端口暴露到宿主的动作，和宿主自己监听不是一回事
怎么验证成功，以及怎么安全地退回去
验证要有顺序：先在本机换成局域网 IP 访问，再换同网段另一台机器，最后上真正的客户端或工具实际发一次请求。接口通了但客户端报错，往往不是网络问题，而是地址写法、端口或者跨域限制，要分开排查。
- 本机换 IP 自测在本机把请求地址换成局域网 IP，能通说明监听没问题，不通说明改的还没生效。
- 第二台机器连通性从同网段另一台机器发同样的请求，验证网络放行是否到位。
- 客户端实发一次用平时真正会用的客户端或工具发一次完整请求，确认不只是裸接口能通。
- 记录并留回退把改了哪个文件、哪个变量、怎么改回去写下来，方便自己或同事下次接手。
顺带说一句，如果你只是想让另一台设备偶尔用一下，比起长期开放监听，点对点隧道或者只绑内网网卡更省心，暴露面也小得多。
什么情况下不建议这么开
机器直接暴露在公网、或者办公网里有不受控设备时，开放监听面本身就带来风险。判断标准很简单：这台机器所在的网络里，有没有你控制不了的设备能连进来。有，就别全地址监听。
- 只是想让另一台设备用，优先考虑点对点隧道或只绑内网网卡，而不是全地址监听
- 多人长期共用同一台机器跑模型，转发类方案通常比直接放开监听更好管
- 机器同时连着公网时，全地址监听等于把服务摆到了不该摆的地方
- 网络里存在你不认识的设备时，先解决隔离问题再谈开放
判断类的东西没有绝对答案，网络结构不一样结论就不一样。你自己的家庭内网、可控的小办公室，和开放式办公网、云主机，处理方式应该分开对待。
下一步如果你在意的是把本地模型对外提供服务的整体可信度、端口暴露风险和更稳妥的替代做法，可以到站内的中转站可信度检测与工具目录里对照着看，那里有更系统的检查清单和可选方案。→常见问题
改了配置重启还是连不上，最可能是什么原因？
先确认服务真的重启了、并且读到了新配置，很多情况是改了文件但没重启服务。其次看是不是被防火墙或安全组挡了，再确认你连的 IP 是不是这台机器当前实际的网卡地址。多网卡机器上绑错网卡很常见。
能不能只让局域网某几台电脑访问，而不是整个网段？
可以，思路是把监听绑到内网网卡地址，再在防火墙规则里按来源 IP 或网段限定，而不是对所有地址开放。这样既能被指定机器调用，也不会让整个网络里的设备都能连上。
开了局域网访问会不会影响本机使用和模型速度？
本机调用照常可用。速度取决于同时有几个请求打进来、显存和算力够不够，单个外部请求一般感觉不明显；多人同时压过来时，排队和变慢是正常现象，跟是否开放监听无关。
