DeepSeek本地部署安全隐患问题，建议紧急排查

Ollama在默认情况下并未提供安全认证功能,这导致许多部署DeepSeek的用户忽略了必要的安全限制,未对服务设置访问控制。结果,任何人都可以在未经授权的情况下访问这些服务,不仅增加了服务被滥用的风险,还可能导致数据泄露和服务中断。更严重的是,攻击者甚至能够发送指令删除所部署的DeepSeek、Qwen等大模型文件,进一步威胁系统的安全性。

当前,已出现了通过自动化脚本扫描到“裸奔”状态的DeepSeek服务器,并恶意占用大量计算资源,盗取算力并导致部分用户服务器崩溃的事件。

安全加固:

将Ollama只监听本地地址 export OLLAMA_HOST=127.0.0.1

检查是否只监听本地命令：netstat -an | grep 11434`

应该只看到127.0.0.1:11434的监听,而不是 0.0.0.0:11434

同时做好防火墙策略:

# MacOS 配置方法

# 检查端口

sudo lsof -i :11434

# 使用内置防火墙

sudo /usr/libexec/ApplicationFirewall/socketfilterfw --add /path/to/ollama

sudo /usr/libexec/ApplicationFirewall/socketfilterfw --block /path/to/ollama

# Windows 配置方法

或通过图形界面：

打开 Windows Defender 防火墙高级设置

右键"入站规则" → "新建规则"

选择"端口" → TCP → 特定本地端口：11434

选择"阻止连接" → 应用到所有配置文件

# 或者PowerShell命令

New-NetFirewallRule -DisplayName "Block Ollama" `

-Direction Inbound `

-LocalPort 11434 `

-Protocol TCP `

-Action Block

New-NetFirewallRule -DisplayName "Block Ollama Outbound" `

-Direction Outbound `

-LocalPort 11434 `

-Protocol TCP `

-Action Block

# Ubuntu/Debian

# 使用 UFW

sudo ufw deny 11434/tcp

# 或使用 iptables

sudo iptables -A INPUT -p tcp --dport 11434 -j DROP

sudo iptables -A OUTPUT -p tcp --dport 11434 -j DROP

# CentOS/RHEL

# 使用 firewall-cmd

sudo firewall-cmd --permanent --add-port=11434/tcp --zone=public

sudo firewall-cmd --permanent --remove-port=11434/tcp --zone=public

sudo firewall-cmd --reload

验证配置:

在所有系统上都可以使用以下命令验证:

# 检查端口监听状态

netstat -an | grep 11434

# 尝试从其他机器连接（应该失败）

curl http://[服务器IP]:11434/api/generate

原文始发于微信公众号（飓风网络安全）：DeepSeek本地部署安全隐患问题，建议紧急排查