简介：一份围绕DeepSeek内网部署的实战指南，适合具备IT基础、需要在内部网络落地大模型的研究员、开发者与企业技术人员。资源以PDF形式单独呈现，约2.52MB，轻量易读，便于按主题查阅。内容从软硬件前置条件入手，明确推荐RTX 3090以上GPU、显存至少24GB与内存64GB起步，并给出Ollama在Windows、Linux、macOS上的安装步骤和环境变量配置要点；再对比Lmstudio、Chatbox、Cherry-Studio、Lobe Chat等主流客户端的集成方式与适用场景，同时结合离线与在线两种模型下载方案说明RAG知识库的搭建路径。安全加固部分重点覆盖网络隔离、访问控制、模型防污染与数据保护机制，并延伸至Web客户端特别关照、持续监控更新、性能调优和故障排除，有助于金融、医疗等敏感行业在确保私密性的前提下快速完成私有化大模型服务交付。已有309人学习下载，对需要兼顾安全与效率的企业技术团队具有实用参考价值。
1. 内网部署 DeepSeek 为什么绕不开 Ollama：硬件底线与整体架构
把 DeepSeek 部署进内网，第一反应是下载模型直接跑，但真正卡住你的往往不是模型参数，而是 Ollama 这个运行时怎么配、客户端怎么连、模型怎么防篡改。这套实战方案围绕 Ollama 展开：模型下载、环境变量、LM Studio 等多客户端接入、RAG 知识库搭建，再到网络隔离与访问控制，每一步都有可复现的命令。适合企业研发、金融医疗等敏感场景的技术人员，也适合只有一块 24GB 显存显卡的个人开发者——先量化硬件底线，再决定是跑 32B 还是更小模型。我的血泪经验是：内网部署最贵的不是硬件，是你折腾到凌晨两点的精力。
2. 部署前的硬件与软件准备：显存内存与驱动的量化门槛
2.1 硬件选型：显存、内存、存储的底线
先说结论：想在内网流畅跑 DeepSeek 系列模型，NVIDIA RTX 3090 是最低可接受的门槛，显存至少 24GB。这不是玄学，是模型权重和 KV Cache 算出来的。我一开始用 2080Ti 试跑 32B 模型，加载后生成一个 token 要等好几秒，多轮对话直接卡死，后来换了 3090 才正常。
内存方面，官方建议至少 64GB，我建议直接上 128GB。很多人只盯着显存，忽略了内存：Ollama 加载模型、处理上下文、RAG 分块向量化都会吃内存。当并发对话上来，或者把文档库切得很碎，内存占用轻松破 64GB。存储至少留出 100GB 可用空间，模型文件本身约 20GB 到 40GB，加上 Docker 镜像、客户端、日志和知识库文件，100GB 是最低值。
还有一个容易忽略的点：如果跑 RAG，文本向量模型的推理也吃资源。bge-m3 这类向量模型虽然不大，但检索时要对全部文档做向量化，CPU 会被占满。如果机器有富余，可以把向量模型和主模型分别部署，避免互相抢显存。内网部署不是装个软件那么简单，先量化好资源，再动手。
2.2 软件栈：驱动、Docker 与 Node 的取舍
软件部分，最优先的是显卡驱动必须最新。很多奇怪的 CUDA 错误、模型加载失败，到最后都是驱动版本太老。装完 Ollama 后，可以用nvidia-smi看驱动和 CUDA 版本，同时确认 Ollama 启动日志里有没有提示 GPU 可用。
Docker 是可选但强烈推荐，尤其后面部署 Lobe Chat 和 RAG Web UI 时，Compose 一键拉起，比手动装依赖省心太多。如果你打算用 Docker，提前装好 Docker Desktop 或 Docker Engine + Compose。另一个可选组件是 Node.js >= 18 和 pnpm，这是手动部署 Lobe Chat 用的。除非你需要改前端代码，否则不建议走手动部署，因为构建时间很长，而且版本依赖容易翻车。
软件栈我一般控制在最小集合：显卡驱动 + Ollama + Docker Compose + 一个测试客户端。剩下的按需加。别一上来装一堆，内网环境排查问题时要少几个变量。
2.3 兼容性检测与自检清单
在真正安装之前，可以用兼容性检测工具确认机器能不能跑目标模型。输入里提到的兼容性检测页，会把显存、内存和模型大小做匹配，给出“能跑 / 不能跑 / 需要量化”的结论。我建议把它当先行确认，而不是装完 Ollama 才后悔。
我的自检清单是这样的：
- 显存是否大于等于目标模型所需（32B 全精度大约需要 64GB，但 4bit 量化后可压到 20GB 左右）
- 驱动是否最新，
nvidia-smi能正常输出 - 内存是否至少 64GB，虚拟内存是否开启自动管理
- 磁盘剩余空间是否大于 100GB
- 防火墙是否允许后续要用到的端口（11434、3010 等）
- 如果是离线内网，是否准备好模型文件的离线导入路径
把这几项过一遍，比直接跑安装命令更能避免浪费半天时间。
3. Ollama 安装与模型下载：在线离线两条路与环境变量细节
3.1 三平台安装与验证
Ollama 的 Windows 安装很简单，去官网下载安装包，双击一路“下一步”。装完打开 PowerShell 或 CMD，运行：
ollama --version能看到版本号就证明安装成功。Windows 下我遇到过一种情况：安装后 ollama 命令找不到，原因是安装时没把 Ollama 加入系统 PATH。重装或手动添加环境变量即可。
Linux 和 macOS 几乎是同一行命令：
curl -fsSL https://ollama.com/install.sh | shmacOS 也可以用 Homebrew：
brew install ollama验证同样用ollama --version。Linux 下如果要以服务方式运行，安装脚本会自动注册 systemd 服务；若你是手动下载二进制，就需要自己写 systemd unit 或直接用ollama serve。macOS 的 Homebrew 版本会把服务注册好，一般不需要额外操作。
这里有个细节：Windows 上 Ollama 默认开机自启，Linux 上则不一定。内网生产环境我建议用 systemd 管理 Ollama，这样可以设置开机重启和依赖顺序。
3.2 OLLAMA_HOST 与代理环境变量：内网联通的命门
安装完的默认状态，Ollama 只监听本机回环地址。如果想让内网其他机器访问，必须设置 OLLAMA_HOST。Windows PowerShell 下：
$env:OLLAMA_HOST="0.0.0.0:11434"Linux/macOS：
export OLLAMA_HOST="0.0.0.0:11434"注意0.0.0.0表示监听所有网卡，而不是只监听本机。设置后要重启 Ollama 服务，否则不生效。内网防火墙需要放行 11434 端口，云服务器安全组也要同步放行。
内网环境最隐蔽的坑是代理。如果部署机需要走代理才能访问外网，而 Ollama 要下载模型，必须设置 HTTP_PROXY 和 HTTPS_PROXY：
export HTTP_PROXY="http://your-proxy-server:port" export HTTPS_PROXY="http://your-proxy-server:port"Windows PowerShell 用$env:前缀设置。我在这里翻过车：只设了 HTTPS_PROXY，没设 HTTP_PROXY，导致 Ollama 拉取模型 registry 时部分请求走直连，超时挂掉。两个都要设，并且代理地址要能被 Ollama 服务账户访问。如果代理需要认证，格式是http://user:pass@host:port。
3.3 下载 DeepSeek 模型：在线 pull 与离线 gguf 导入
在线下载最简单，直接执行：
ollama run deepseek-r1:32b这个命令会先 pull 模型，然后进入交互式对话。不想进对话，只想下载，可以用ollama pull。RAG 场景需要文本向量模型，推荐二选一：
ollama run bge-m3 ollama run nomic-embed-text这里bge-m3是多语言向量模型，中文知识库效果更好；nomic-embed-text更轻量，显存紧张时选它。两个都装也没问题，客户端里按场景切换。
离线下载是内网部署的核心场景。做法是：在有外网的机器上用 LM Studio 下载模型，得到 gguf 文件，然后把整个文件夹拷到内网机器的 Ollama 模型目录。具体导入步骤：
# 在模型文件所在目录新建 Modelfile 文本文件 # 内容：FROM ./nomic-embed-text-v1.5.f16.gguf # 执行 create 命令 ollama create nomic-embed-text-v1.5.f16 -f ./Modelfile这段命令的逻辑是：FROM指定本地 gguf 文件路径，ollama create会把该文件注册成 Ollama 可识别的模型标签。完成后用ollama list查看，就能看到导入成功的模型，其他 gguf 模型同理。路径必须是相对 Modelfile 的路径或绝对路径，不要写错。如果 Modelfile 和 gguf 不在同一目录，FROM 要写完整路径。
离线导入时要注意文件完整性。拷贝过程中 U 盘或共享文件夹可能丢文件，导入前先对比 hash。我一般用sha256sum在源机器和目标机器各算一遍，一致再 create。
3.4 向量模型选择：bge-m3 和 nomic-embed-text 的 RAG 用途
做 RAG 知识库，向量模型决定检索质量。bge-m3 支持 100 多种语言，中文语义理解明显更强，适合企业文档里有大量中文的场景；nomic-embed-text 是纯英文生态更通用，如果你知识库全英文或者追求轻量，可以选它。
在 Ollama 里，向量模型和对话模型建议分开下载，不要混用。检索时，文档被切成 chunk，每个 chunk 通过向量模型转成 embedding，然后存进向量数据库。对话时，用户问题同样转成 embedding，在向量库里找最相似的片段，再把片段拼进上下文送给对话模型。所以向量模型的输出维度、上下文长度会直接影响检索配置。选 bge-m3 时，RAG 工具的 embedding 维度要配成 1024；选 nomic-embed-text 则是 768。维度配错，检索结果会全乱。这是黑匣子最容易出错的地方。
4. 多客户端集成与 RAG 知识库：从桌面到 Web 的接入实测
4.1 LM Studio 图形化接入
LM Studio 虽然名字像独立运行时，但它能直接连接 Ollama。下载安装对应系统的版本，Linux 下需要先给 AppImage 加执行权限：
chmod +x LM-Studio-0.3.9-6-x64.AppImage ./LM-Studio-0.3.9-6-x64.AppImage启动 Ollama 后，打开 LM Studio，进入设置，找到 Server 或 Connection，填http://localhost:11434。如果 Ollama 在另一台机器，就填那台机器的 IP，比如http://192.168.1.10:11434。填完测试连接，模型列表里能看到已下载的 DeepSeek 模型，选中即可对话。
这里有个小坑：LM Studio 自己也会尝试加载本地模型，如果它启动时检测到本地有模型，会优先用自己的推理后端，而不是 Ollama。要确保在设置里明确选择 Ollama Provider，不要混用。另外 LM Studio 的端口默认不是 11434，如果你的 Ollama 改了端口，这里也要同步改。
4.2 Chatbox 和 Cherry Studio 配置
Chatbox 和新锐的 Cherry Studio 都是桌面客户端，配置逻辑一致。Chatbox 进设置，找 API 或连接，选 Ollama，填地址和端口，选模型，测试。Cherry Studio 则在设置里选择“Ollama”作为提供商，填入http://localhost:11434。
Cherry Studio 添加模型时，需要手动输入模型 ID。最稳的方式是先执行ollama list：
ollama list拿到模型 ID，比如deepseek-r1:32b，然后填到客户端的模型名称里。不要凭记忆输入标签，容易因大小写或版本后缀对不上而报错。
这两款都支持流式输出和 Markdown 渲染。如果你的内网机器没装桌面环境，Chatbox 也有 Web 版，但不如 Lobe Chat 完整。我一般用 Cherry Studio 做日常调试，因为它的参数面板更细，可以直接调 Temperature、Top_p 和 Max Tokens，方便后面做性能验证。
4.3 Lobe Chat Docker 部署与 .env 参数
Lobe Chat 是 Web 界面，浏览器访问，最适合团队共用。建议用 Docker Compose 部署，省心。先获取项目代码：
git clone https://github.com/lobehub/lobe-chat.git cd lobe-chat在项目目录下新建.env文件，写入以下关键配置：
OPENAI_API_KEY=sk-your-openai-api-key ACCESS_CODE=your-super-secret-password OLLAMA_BASE_URL=http://your-ollama-host:11434 OLLAMA_API_MODEL=deepseek-coder:33b这里有个设计：Lobe Chat 本身以 OpenAI 兼容协议转发请求，所以需要OPENAI_API_KEY占位；实际走 Ollama 时，这个 key 可以随便填，但不能为空。ACCESS_CODE是访问密码，必须设置，否则内网任何人都能打开对话界面；OLLAMA_BASE_URL填 Ollama 服务器地址，同机就填http://localhost:11434，跨机器填 IP；OLLAMA_API_MODEL填模型 ID，注意我写在示例里是 deepseek-coder:33b，但如果你只下了 deepseek-r1:32b，要改成实际 ID。
启动：
docker-compose up -d启动后浏览器访问http://localhost:3010，按提示输入 ACCESS_CODE。然后用管理员设置添加 Ollama 提供商，填入 Base URL 和模型名，测试连接。Lobe Chat 还支持子路径部署，配合 Nginx 反向代理，可以做到https://your-domain/chat这种形式，便于和公司现有统一入口集成。
4.4 RAG Web UI 搭建知识库
个人或企业知识库，我推荐基于 RAG 的 Web UI。它本身是一个智能对话系统，前端对话、后端检索分离。支持 PDF、DOCX、Markdown、Text 格式，文档自动分块和向量化，还支持异步、增量处理；对话时检索相关片段，并带引用角标，能直接点开原文。后端向量数据库支持 ChromaDB 和 Qdrant，通过工厂模式可以切换。
部署时，你需要准备两个模型：一个对话模型（DeepSeek），一个 embedding 模型（bge-m3 或 nomic-embed-text）。然后在 RAG Web UI 的配置里指定 Ollama 地址和两个模型名。文档上传后，系统会先做分块，分块大小和重叠度一般默认可以，但中文文档建议把 chunk size 调整为 512 左右，重叠 50 到 100，检索效果更稳。向量化完成后，即可开始问答。
这里要提醒：RAG 的效果并不完全取决于模型，分块策略和向量库配置往往更重要。如果回答经常引用无关内容，先把分块调小，再加一句“只根据上下文回答”的系统提示，通常会改善很多。
5. 安全加固与常见问题排查：内网模型别裸奔
5.1 网络隔离：把 Ollama 关进独立网段
内网不等于安全。第一道防线是网络隔离：把 Ollama 和客户端服务器放在单独网段，严格限制对 11434 端口的访问。别把 Ollama 直接暴露在公司核心办公网，更不要暴露到公网。防火墙只允许信任 IP 访问，其他一律 drop。
我见过一个案例：有人为了图方便，把 Ollama 监听 0.0.0.0 后没做防火墙规则，结果内网一个扫描脚本直接调用了它的 API，虽然没造成损失，但日志里全是异常请求。网络隔离没有后悔药，落地时先关端口，再开白名单。
5.2 访问控制：Nginx 反代加 Basic Auth
Ollama 本身不提供身份认证，但可以通过 Nginx 反代加 Basic Auth。配置段如下：
server { listen 80; server_name your-ollama-server.com; location / { proxy_pass http://localhost:11434; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; auth_basic "Restricted Access"; auth_basic_user_file /etc/nginx/.htpasswd; } }auth_basic弹用户名密码框，auth_basic_user_file指向 htpasswd 生成的密码文件。用htpasswd -c /etc/nginx/.htpasswd username创建。这个配置只是基础，生产环境还要加 HTTPS 和 SSL 证书，别用 HTTP 裸奔。
另外，别用默认端口。把 Ollama 监听端口从 11434 改成不常用的端口，比如 31434，客户端配置同步改。这不能防住恶意攻击，但可以阻止大量自动化扫描的低级尝试。
5.3 模型安全：哈希校验与可信来源
模型文件也可能被污染。只从可信来源下载，比如 Ollama 官方库或知名开发者账号。下载后检查完整性：
sha256sum /path/to/your/model/file把计算结果和来源提供的官方哈希对比。如果一致，说明文件没被篡改。我每次离线导入 gguf 前都会这么做，虽然麻烦点，但比部署一个被植入后门的模型可靠得多。另外，模型文件的目录权限要收紧，只允许运行 Ollama 的用户和运维账号读取，其他用户一律 deny。
5.4 数据安全：加密、脱敏、备份与最小权限
如果模型要处理敏感数据，静态数据和传输中的数据都要加密。磁盘加密可以用 BitLocker 或 LUKS，传输加密用 HTTPS。数据脱敏是重点，把身份证号、手机号、企业内部编号在入库前替换掉，避免模型上下文里带出真实信息。最小权限原则：每个用户只给需要的权限，不让普通用户直接访问 Ollama 服务器的文件系统。
备份同样重要。模型文件、知识库向量库、配置文件都要定期备份。RAG 的向量库如果不备份，文档重新向量化会非常耗时。我把备份脚本挂了 cron，每天增量备份向量库，每周全量备份模型文件。
5.5 Lobe Chat 的特别加固
Web 端是暴露面最大的。Lobe Chat 的.env里必须设置强密码ACCESS_CODE，不要用默认值。默认端口 3010 要限制访问，结合 Nginx 反代只允许公司 IP 段访问。如果部署在公网，必须上 HTTPS，否则对话内容明文传输，跟裸奔没区别。建议用子路径部署，比如https://your-domain/lobe-chat/，这样既统一管理，也能避免直接暴露根路径。
5.6 常见问题：连接失败、下载失败、加载慢的排查
把最常见的几个问题放在一起，每条都是现象 -> 原因 -> 解决。
问题一：客户端连不上 Ollama。现象是测试连接超时。原因通常是三选一：Ollama 没启动、地址端口填错、防火墙没放行。解决：先确认ollama serve在跑；再在客户端所在机器上curl http://<ollama-ip>:11434看是否有响应；最后查防火墙。
问题二：Ollama 下载模型失败。现象是 pull 到一半中断或超时。原因多半是代理环境变量没设对，或者内外网链路不稳。解决：检查HTTP_PROXY和HTTPS_PROXY是否设置并重启 Ollama；如果网络实在不稳定，切换到离线导入方式。
问题三：模型加载失败或生成速度极慢。现象是调用模型报错或首 token 延迟几十秒。原因：显存不足触发 CPU 回退，或者 CUDA 版本不匹配。解决：用nvidia-smi看显存占用，确认 Ollama 是否真正用上 GPU；查看 Ollama 启动日志，确认 CUDA 初始化无报错。
问题四：RAG 检索结果不准。现象是回答里经常出现无关内容。原因：分块大小不合适，或 embedding 模型维度配错。解决：调整 chunk size 和 overlap，确认向量库配置的 embedding 维度与模型一致。
问题五：Lobe Chat 提示模型不存在。现象是配置后测试连接报 404。原因：.env里的OLLAMA_API_MODEL写成了不存在的标签。解决：执行ollama list，把实际模型 ID 填进去。
这些坑我都踩过，尤其是代理和防火墙，最容易浪费半天时间。排查时先链路后配置，别一上来就重装 Ollama。
6. 性能调优与生成参数验证：榨干硬件最后一步
部署完成后，可以从三个方向验证性能：线程数、GPU 加速、生成参数。
Ollama 默认线程数不一定最优。如果 CPU 核心多，可以设置：
export OLLAMA_NUM_THREAD=8然后重启 Ollama。这个值不是越大越好，超过物理核心数反而上下文切换开销高。我一般根据 CPU 型号，物理核心减 2 作为初始值，再观察负载调整。
GPU 加速确认很关键。启动 Ollama 后，看日志里有没有类似gpu的关键字，同时执行：
nvidia-smi查看显存占用率是否上升。如果模型在 CPU 上跑，显存占用几乎不变，那是驱动或 CUDA 版本出了问题，需要升级驱动。
客户端生成参数直接影响输出质量。Temperature 控制随机性，我个人通常设置在 0.7 到 0.9 之间；Top_p 控制多样性，一般用 0.9 或 0.95；Max Tokens 限制生成长度。没有绝对最优，我习惯用固定三个问题做回归：问一个定义题、一个计算题、一个代码题，分别调参看输出的连贯性和稳定性。
从那次部署之后，我每次上线新客户端，都会强制走一遍“连接测试 -> 模型 ID 核对 -> 防火墙检查 -> 生成参数记录”。没有这套动作，内网模型很容易在你最需要它的时候翻车。希望这套从 Ollama 到安全加固的流程能帮到你。
本文还有配套的精品资源，点击获取
