用 Caddy + Nginx 反向代理本地 LLM API

本地运行的 Ollama 或 vLLM 只能在局域网内访问。本教程教你用反向代理将其暴露到公网，支持自定义域名、自动 HTTPS（Let's Encrypt）、API 密钥鉴权。适用于远程开发、团队共享、移动端调用等场景。

为什么需要反向代理

直接暴露本地端口的问题：

• ❌ 没有 SSL 证书，浏览器/客户端报安全警告
• ❌ 没有鉴权，任何人都能调用你的 API
• ❌ 没有流量控制，容易被滥用
• ❌ 没有日志记录，难以排查问题
• ❌ 公网 IP 贵且不稳定，家庭宽带多为 NAT

反向代理解决以上所有问题：

• ✅ 自动 HTTPS（Let's Encrypt）
• ✅ API 密钥验证
• ✅ 速率限制
• ✅ 访问日志
• ✅ 配合 Cloudflare Tunnel 无需公网 IP

对比项	Caddy	Nginx	Cloudflare Tunnel
配置难度	⭐ 最简单	⭐⭐⭐ 中等	⭐ 最简单
自动 HTTPS	✅ 内置	❌ 需额外配置	✅ 内置
需要公网 IP	是	是	否
API 鉴权	插件/中间件	ngx_http_auth_request	Access Policy

方案一：Caddy（推荐）

Caddy 是最简单的方式，配置文件只需 5 行就能实现自动 HTTPS + 反向代理。

安装 Caddy

编写 Caddyfile

# /etc/caddy/Caddyfile

# Ollama API（完整 OpenAI 兼容）
api.ollama.example.com {
    reverse_proxy localhost:11434
    encode gzip
    log {
        output file /var/log/caddy/ollama.log
    }
}

# vLLM API
api.vllm.example.com {
    reverse_proxy localhost:8000
    encode gzip
    log {
        output file /var/log/caddy/vllm.log
    }
}

启动 Caddy

方案二：Nginx

安装 Nginx

配置反向代理

创建 /etc/nginx/sites-available/ollama：

server {
    listen 80;
    server_name api.ollama.example.com;

    location / {
        proxy_pass http://127.0.0.1:11434;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection 'upgrade';
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_cache_bypass $http_upgrade;

        # 超时设置（LLM 响应可能很慢）
        proxy_read_timeout 300s;
        proxy_connect_timeout 75s;
        proxy_send_timeout 300s;

        # 关闭请求体大小限制
        client_max_body_size 100M;
    }

    access_log /var/log/nginx/ollama_access.log;
    error_log /var/log/nginx/ollama_error.log;
}

启用站点并申请 SSL

自动续期 SSL

API 密钥鉴权

如果不想公开 API，需要添加鉴权。

Nginx + HTTP Basic Auth

Nginx + Bearer Token

使用 Lua 模块实现 Bearer Token 验证：

server {
    listen 80;
    server_name api.ollama.example.com;

    # 验证 Bearer Token
    location / {
        if ($http_authorization !~ "^Bearer sk-ollama-secret-key-12345") {
            return 401 '{"error": "Unauthorized"}';
        }

        proxy_pass http://127.0.0.1:11434;
        proxy_http_version 1.1;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

Caddy + Basic Auth

api.ollama.example.com {
    basic_auth {
        admin JDJhJDEwJEVCc0wuUUtxcG9LUXVNZVlxLkRLTGg=
    }
    reverse_proxy localhost:11434
}

客户端调用方式

Cloudflare Tunnel（零部署）

如果你没有公网服务器或不想暴露端口，Cloudflare Tunnel 是最简单方案。零配置、不需要公网 IP。

安装 cloudflared

创建 Tunnel

配置 Tunnel

# ~/.cloudflared/config.yml
tunnel: <TUNNEL_ID>
credentials-file: ~/.cloudflared/<TUNNEL_ID>.json

ingress:
  - hostname: api.ollama.example.com
    service: http://localhost:11434
  - service: http_status:404

启动 Tunnel

测试与验证

测试本地 Ollama

测试公网 API

测试 Claude App 接入

安全注意事项

安全清单

• ✅ 始终启用 API 密钥鉴权
• ✅ 使用强密码（20+ 字符随机字符串）
• ✅ 限制 IP 访问（在 Cloudflare Access Policy 中）
• ✅ 启用速率限制（防止滥用）
• ✅ 定期检查访问日志
• ✅ 不要将 .htpasswd 或 Token 提交到 Git
• ✅ 防火墙只开放 80/443，关闭 11434 直接访问

防火墙配置