在 Linux 上安装 Ollama 并安全提供服务

本文范围与验证说明

本文提供“官方安装指引 + 安装后的本机验证参考”，不是经过 AIOOS 完整实测的一站式安装教程。官方资料核验日期为 2026 年 10 月 10 日。本站尚未完成 Linux 安装、服务启动、模型推理和 API 的实际运行闭环。下列命令来自官方说明和静态审查，不代表本站已经执行成功。

检查 Linux、架构与资源

先在自己的 Linux 测试机上执行只读检查：

uname -s
uname -m
free -h
df -h .
command -v curl sha256sum

官方 Linux 说明区分 x86_64/amd64 与 aarch64/arm64 安装包，应选择对应文件；不能推断其他架构或 GPU 驱动也兼容。缺少工具时使用发行版可信的软件包管理器。内存和存储要求取决于具体模型、量化、上下文长度及并发量；须为安装文件、库和模型缓存留空间，下载体积不等于推理内存需求。4 核 CPU 或 20 GiB 空闲磁盘并不是通用的官方最低要求。

网络需要通过 HTTPS 访问官方发行文件及模型仓库，并具备可信 CA 证书和相应安装权限。涉及管理员权限的变更，应先由机器负责人审查。不要为了尝试教程就在共用生产服务器安装。安装或升级前备份现有配置和应用数据。

沿官方路径安装，核验发行文件

阅读 Ollama 官方 Linux 说明，选择适用的安装方法。官方流程可能修改系统文件和服务；本文不复制“下载即执行”、删除旧库、解压到系统目录的命令，也不提供自定义用户目录安装器。下载的脚本必须先审查，再决定是否执行。来源官方不能证明当前文件内容及其执行影响已经审查。

需要固定发行版本时，可以从本次核对的 官方 0.40.2 发行页面 查看资料；这不代表本站已安装该版本，也不保证它适合所有机器。从同一发行页面获取完整的对应架构安装包和 sha256sum.txt，不要将不断变化的最新下载与固定版本摘要混用。局部下载文件不能用作安装包。

假设当前目录已经保存完整 ARM64 文件，下列只读命令打印文件摘要，不下载、不安装、不执行软件：

sha256sum -- ollama-linux-arm64.tar.zst

将全部 64 位十六进制字符与官方清单中对应文件逐一核对。清单文件名可能带 ./ 前缀，应确认相同文件名、版本及架构。amd64 用户须改用 amd64 文件及对应清单项。摘要不一致、条目缺失或文件不完整时停止。匹配只能证明文件与该官方清单一致，并非独立签名或兼容性保证。保留版本、文件 URL 和摘要记录。完成经审查的官方安装流程后，才进入下列检查。

安装后选择一种运行模式

检查并记录已安装客户端版本：

ollama --version

版本号只能说明客户端可用，不能证明服务或模型正常；客户端也可能提示服务器尚未运行。不要将一种安装的可执行文件与另一种安装的服务混用。

手动前台进程

确认本机端口尚未被 Ollama 服务占用后，在终端 A 以普通用户启动已安装程序：

OLLAMA_HOST=127.0.0.1:11434 ollama serve

保持该终端打开，在终端 B 进行后续检查，启动错误查看终端 A。Ctrl-C 结束前台进程；它不是持久化 systemd 服务。已有服务运行时不要再启动第二个实例。官方 FAQ 说明默认回环监听及 OLLAMA_HOST；在另一个终端设置环境变量，不会改变已经运行的系统服务。

已存在的系统级 systemd 服务

仅适用于经审查的安装已在 systemd 发行版建立官方 ollama.service 的情况。先查看服务单元和状态：

systemctl cat ollama.service
systemctl status ollama.service --no-pager
journalctl -u ollama.service --no-pager -n 50

核对可执行文件、服务用户及覆盖配置，尤其是监听地址。单元不存在时，返回官方服务安装说明，不临时拼装服务。单元已经存在、配置经过审查且端口没有手动进程占用时，获授权的管理员可按官方系统服务方式启动：

sudo systemctl start ollama.service
systemctl status ollama.service --no-pager

检查是否为 active (running)，出现错误应查看日志；启动服务不证明推理成功。查看日志可能需要管理员或日志访问权限。系统服务的模型缓存和权限可能不同于手动进程。这不是 `systemctl --user` 用户服务配置。 没有运行中 systemd 管理器的容器不能验证该模式；本文不覆盖 systemd 用户服务。两种模式不要同时运行。

下载并检查一个明确的本地模型

本机服务可用后，阅读 官方 gemma3:270m 模型页面。这是一个明确的小模型可选测试标签，不代表推荐其用于生产回答。下载前核对许可及已安装 Ollama 版本的支持情况；本站没有实测它的内存消耗或推理。下列操作可能下载模型数据并使用 CPU 和内存，不应仅因客户端版本检查通过就执行：

ollama pull gemma3:270m
ollama list

只有下载无错误完成、列表中出现对应标签后再继续。文件已下载不证明能够推理。随后尝试一个简短提示：

ollama run gemma3:270m "Reply with a short greeting."

检查标准是实际获得生成文本且没有运行错误，不承诺输出某句固定内容。资源或兼容性错误出现时停止排查，不反复下载更大模型。

从同一机器检查本地 API

官方 generate API 使用 POST，stream: false 请求单份 JSON 响应，而不是连续流式片段。使用已经成功下载并运行的相同标签：

curl --fail --show-error --silent --connect-timeout 5 --max-time 120 \
  -H 'Content-Type: application/json' \
  http://127.0.0.1:11434/api/generate \
  -d '{"model":"gemma3:270m","prompt":"Reply with a short greeting.","stream":false}'

核对 HTTP 结果和 JSON：没有错误，done 为 true，response 包含实际生成文本。本文不伪造成功响应。120 秒是客户端的有界检查，不是推理速度承诺，也不一定取消服务端任务；重试前先查看日志和资源。API 返回成功不代表回答准确、生产吞吐达标或远程接入安全。

常见问题：排查而不降低安全边界

• 找不到命令：确认经审查的安装是否完成，以及 PATH 实际选择的程序，不用未经核验的二进制覆盖系统文件。
• 连接被拒绝：检查所选运行模式和对应日志；客户端存在不能说明服务已启动。
• 地址已占用：先识别已有服务，不盲目杀进程，也不改为公网监听来启动第二个实例。
• 下载或摘要失败：停止，核对官方来源、网络和文件完整性；不关闭证书校验，不切换不明镜像。
• 权限不足：核查实际服务用户与模型缓存权限，不随意递归改所有权或放宽整个目录权限。
• 内存或模型错误：检查明确标签、上下文和运行要求，不无限重试或未经计划下载大型模型。

保持 11434 端口私有。不要直接开放公网、为了连通而改成通配监听或关闭防火墙。远程接入需要另行审查的认证网关；本文不配置网关，也不承诺公网部署安全。持续监控内存、延迟、磁盘及服务重启，保护配置和应用数据备份。需要浏览器界面时，可参考已有 Open WebUI 教程，仍需满足该文的前置条件及安全要求。

验证边界

官方资料支持所述操作；静态语法和内容检查不等于执行测试。本站未对本次修订完成实际安装、手动或 systemd 启动、模型推理、API 验证。读者应记录自己的软件版本和实际结果。本次修订改善官方路径、运行模式区别和自检标准，不是“完整安装教程实测通过”。