VPS uzerinde rootless Podman ile Ollama kurulumu

Ollama'yı VPS üzerinde rootless Podman ile çalıştırmak

Ollama'yı bir sunucuda rootless Podman ile çalıştırmak için, masaüstü kurulum rehberlerinde genellikle atlanan beş koşulun sağlanması gerekir. Konteyner, yetkisiz (unprivileged) özel bir kullanıcıya ait olmalıdır. Bu kullanıcı için "lingering" özelliği etkinleştirilmelidir; böylece oturumu kapattıktan sonra konteyner çalışmaya devam eder. Bir Quadlet dosyası, konteynerin yönetimini systemd'ye devreder; bu sayede sunucu yeniden başlatıldığında servis otomatik olarak ayağa kalkar. Model dizini, SELinux zorlaması olan dağıtımlarda uygun etiketlere sahip olmalıdır. API yalnızca loopback üzerinde dinleme yapmalı ve erişim bir SSH (secure shell) tüneli üzerinden sağlanmalıdır.

Ollama, büyük dil modelleri (LLM) için bir sunucudur. Model ağırlıklarını diskte saklar, belleğe yükler ve 11434 numaralı port üzerinden gelen HTTP isteklerini yanıtlar. Herhangi bir giriş sistemi, API anahtarı veya kullanıcı hesabı bulunmadığından, tek erişim denetimi mekanizması ağ yapılandırmasıdır. Podman, konteynerleri daemon olmadan ve root yetkisi gerektirmeden çalıştırır; bu nedenle konteynerden çıkabilecek herhangi bir süreç, sıradan ve yetkisiz bir kullanıcı seviyesinde başlar. Çalışma zamanı karşılaştırmasını öncelikle incelemek isterseniz Podman ve Docker'ın VPS üzerinde nasıl farklılaştığına göz atabilirsiniz. Eğer konteyner kullanmadan ilerlemek isterseniz, Ollama'yı doğrudan VPS üzerine kurmak daha kısa bir yoldur.

SSD Nodes, imajları arasında Fedora sunar ve Fedora varsayılan olarak hem Podman hem de SELinux (security-enhanced Linux) ile gelir. Aşağıdaki tüm komutlar, Podman 5 veya daha yeni bir sürümünü içeren tüm dağıtımlarda çalışır.

Dizüstü bilgisayar sürümünün sunucuda neden değişikliklere ihtiyaç duyduğu

Fedora Magazine, 5 Ağustos 2026 tarihinde bu yığınla ilgili net bir rehber yayımladı: Running Ollama Locally with Podman on Fedora Linux, Yazan Monshed. Bu rehber, araçlarla geçirilecek ilk bir saat için oldukça faydalıdır. Ancak rehber bir dizüstü bilgisayarı hedef almaktadır ve içerdiği dört tercih, genel IP adresine sahip bir makinede farklı sonuçlar doğurur.

• Konteyneri düz bir podman run -d ile başlatır. Elle başlatılan bir konteyner, yeniden başlatma sonrasında kendiliğinden ayağa kalkmaz; çünkü başlatılması için herhangi bir talimat verilmemiştir.
• Değişken bir etiket olan ollama/ollama kullanır. Dizüstü bilgisayarda davranışın değiştiği günü fark edersiniz. Sunucuda ise ilk belirti, gece yarısı çalışmayı durduran bir betiktir.
• Tüm arayüzleri bağlayan -p 11434:11434 ile yayın yapar. Ev tipi bir yönlendiricinin arkasında bu, internetten erişilemez durumdadır. Bir VPS üzerinde ise bu, üzerinde parola bulunmayan genel bir çıkarım (inference) API'si anlamına gelir.
• Kendi oturum açma kullanıcınızla çalıştırır. Sunucuda, konteynerin sahibi olan hesap başka hiçbir şeye sahip olmamalıdır; böylece bir sızıntı durumunda saldırgan boş bir ev dizininde kalır.

Bunların hiçbiri, yazıldığı makine için yanlış değildir. Her bir madde, makine her yerden erişilebilir olduğunda ve başında kimse oturmadığında yeniden gözden geçirmeniz gereken bir karardır.

Ayrıcalıksız kullanıcı oluşturma ve subuid kontrolü

Rootless Podman, container içindeki kullanıcı kimliklerini (UID), ana makinedeki kullanılmayan kimliklerden oluşan bir bloğa eşler. Bu blok /etc/subuid ve /etc/subgid dosyalarında tanımlanır. Bu tanımlama yapılmadığı sürece rootless container'lar başlatılamaz.

sudo dnf install -y podman        # or: sudo apt install -y podman
sudo useradd --create-home --shell /bin/bash --comment "Ollama container owner" ollama
sudo passwd --lock ollama
grep ollama /etc/subuid /etc/subgid

grep komutu, her dosyadan birer satır olmak üzere, 65536 kimlikten oluşan bir aralığı belirten iki satır çıktısı vermelidir:

/etc/subuid:ollama:100000:65536
/etc/subgid:ollama:100000:65536

Başlangıç numaranız farklı olabilir, bu durum normaldir. Eğer grep hiçbir çıktı vermiyorsa, useradd bir aralık atamamış demektir ve ilgili kullanıcı ile çalıştırılan ilk podman komutu şu şekilde hata verir:

Error: cannot find UID/GID for user ollama: no subuid ranges found for user "ollama" in /etc/subuid

Başka hiçbir kullanıcının sahip olmadığı bir aralık atayın ve ardından Podman'e eski eşlemenin geçersiz olduğunu bildirin:

sudo usermod --add-subuids 100000-165535 --add-subgids 100000-165535 ollama
sudo -iu ollama podman system migrate

Parolayı kilitlemek, kimsenin ollama kullanıcısı olarak doğrudan giriş yapamamasını sağlar. Hesaba, yönetici kullanıcınızdan sudo -iu ollama komutu ile erişebilirsiniz.

Oturum kapatıldığında servisin çalışmaya devam etmesi için lingering özelliğini etkinleştirin

Bir kullanıcının systemd örneği normalde oturum açıldığında başlar ve oturum kapatıldığında durur; bu sırada /run/user/<uid> de silinir. Kullanıcıya ait tüm rootless container'lar aynı anda sonlanır. Lingering özelliği, herhangi bir oturum bağlı olmasa bile kullanıcı örneğinin çalışmaya devam etmesini sağlar.

sudo loginctl enable-linger ollama
loginctl show-user ollama --property=Linger

Bu komut Linger=yes çıktısını vermelidir. Birimi oluşturmadan önce bu özelliği etkinleştirin; çünkü birimin ihtiyaç duyduğu /run/user/<uid> dizini, yalnızca lingering etkinleştirildiğinde oluşturulur.

Kimsenin beklemediği bir adım daha vardır. sudo -iu ollama size bir kabuk (shell) sağlar ancak bir oturum veri yolu (session bus) sağlamaz; bu nedenle systemctl --user hemen hata verir:

Failed to connect to bus: $DBUS_SESSION_BUS_ADDRESS and $XDG_RUNTIME_DIR not defined

systemd, kullanıcı veri yolunu $XDG_RUNTIME_DIR/bus adresinde arar ve sudo -i bu değişkeni ayarlamaz. Bu servisi yönettiğiniz her yönetici kabuğunda değişkeni manuel olarak ayarlayın:

sudo -iu ollama
export XDG_RUNTIME_DIR=/run/user/$(id -u)
systemctl --user status

Model blob dosyalarının konumu ve disk planlaması

Ollama, ağırlık dosyalarını container içerisinde /root/.ollama/models dizinine yazar. Kullanıcının ana dizininden bir dizini bu yola bağlarsanız (bind mount), dosyalar ölçüm yapabileceğiniz bir konuma yerleşir: /home/ollama/ollama-data/models. Blob dosyaları içerik adresli dosyalar olarak models/blobs dizininde tutulur; models/manifests dizini ise bu dosyaları isimlendiren küçük dizini barındırır. Fedora Magazine makalesinde olduğu gibi isimlendirilmiş bir volume (named volume) kullanırsanız, aynı ağaç yapısı /home/ollama/.local/share/containers/storage/volumes/<volume>/_data altında yaşar.

Herhangi bir indirme yapmadan önce disk boyutunu planlayın. Yayınlanan indirme boyutları size alt sınırı verir.

[
  {
    "label": "gemma3:4b",
    "download_gb": 3.3
  },
  {
    "label": "mistral:7b",
    "download_gb": 4.4
  },
  {
    "label": "qwen3:8b",
    "download_gb": 5.2
  },
  {
    "label": "gemma3:12b",
    "download_gb": 8.1
  },
  {
    "label": "qwen3:14b",
    "download_gb": 9.3
  },
  {
    "label": "gemma3:27b",
    "download_gb": 17
  },
  {
    "label": "qwen3:30b",
    "download_gb": 19
  }
]

7 satırın tamamı ollama.com/library üzerinde yayınlanan değerlerdir, disk üzerinde ölçülen boyutlar değildir. Buradaki en küçük etiket olan gemma3:4b, 3.3 GB indirme yapar. En büyük etiket olan qwen3:30b ise 19 GB indirme yapar. Container imajının kendisi, Podman'in kendi depolama alanında bunun üzerinde yer kaplar; bu nedenle her iki değeri de podman system df ve df -h /home komutlarıyla birlikte kontrol edin. Bir model yüklendiğinde, dosya boyutu kadar RAM'e ve ek olarak bağlam penceresi (context window) için alana ihtiyaç duyar; dolayısıyla 16 GB RAM'e sahip bir VPS üzerinde 19 GB'lık bir model çalışmayacaktır.

Görüntü etiketini sabitleyin ve tam kayıt defteri adını kullanın

sudo -iu ollama
export XDG_RUNTIME_DIR=/run/user/$(id -u)
mkdir -p ~/ollama-data ~/.config/containers/systemd
podman pull docker.io/ollama/ollama:0.32.9

Ağustos 2026 itibarıyla 0.32.9 sürümünü kullanın, latest etiketini kullanmayın. Sabitlenmiş bir etiket, 04:00'te yapılan bir yeniden başlatmanın test ettiğiniz ikili dosyanın aynısını sunacağı anlamına gelir; bu sayede davranışta meydana gelen herhangi bir değişiklik, sizin yaptığınız bir değişiklik olur. Docker Hub aynı sürümler için -rc ve -rocm etiketlerini de yayınlar; bir AMD GPU'nuz yoksa sade olanı seçin.

Kayıt defteri ana bilgisayarını da yazın. Fedora üzerinde bir systemd birimindeki kısa ad, komut istemi için bir terminale sahip değildir ve birim şu hata ile başarısız olur:

Error: short-name "ollama/ollama" did not resolve to an alias and no unqualified-search registries are defined

Görüntüyü önce manuel olarak çekmek isteğe bağlıdır ancak faydalıdır; çünkü çok gigabaytlık indirme işlemini birimin başlatma zaman aşımı süresinin dışına çıkarır.

Yeniden başlatma sonrasında varlığını koruyan Quadlet birimi

Quadlet, Podman'in systemd oluşturucusudur. Bir .container dosyası yazarsınız, systemd bunu önyükleme sırasında bir servise dönüştürür ve podman generate systemd artık gerekli olmaz. Bunu, ollama kullanıcısının sahibi olduğu /home/ollama/.config/containers/systemd/ollama.container olarak kaydedin.

[Unit]
Description=Ollama API (rootless)
After=network-online.target
Wants=network-online.target

[Container]
Image=docker.io/ollama/ollama:0.32.9
ContainerName=ollama
PublishPort=127.0.0.1:11434:11434
Volume=/home/ollama/ollama-data:/root/.ollama:Z
Environment=OLLAMA_KEEP_ALIVE=30m
Environment=OLLAMA_MAX_LOADED_MODELS=1

[Service]
Restart=always
TimeoutStartSec=900

[Install]
WantedBy=default.target

Dosya adı servis adını belirler, bu nedenle ollama.container, ollama.service haline gelir.

systemctl --user daemon-reload
systemctl --user start ollama.service
systemctl --user status ollama.service

status, active (running) çıktısını vermelidir. systemctl --user enable ollama.service komutunu çalıştırmayın. Birim diskte bir dosya olarak mevcut olmadığından systemd bunu reddeder:

Failed to enable unit: Unit file /run/user/1001/systemd/generator/ollama.service is transient or generated.

[Install] bölümü bu işi zaten yapmaktadır. Quadlet, önyüklemede başlatma bağlantısını daemon-reload sırasında kendisi oluşturur; bu nedenle bu komut isteğe bağlı değildir. TimeoutStartSec=900, görüntünün hala çekilmesi gereken ilk başlatmayı kapsar; çünkü varsayılan 90 saniye, iki gigabaytlık bir indirme için yeterli değildir ve systemd başlatma işlemini başarısız olarak sonlandıracaktır. OLLAMA_KEEP_ALIVE=30m, bir modeli beş dakika sonra bellekten boşaltmak yerine istekler arasında bellekte tutar; bunun getirdiği ödünleşimler Ollama modelini bellekte tutma konusunda açıklanmıştır. Buradaki systemd terminolojisi yeni geliyorsa, VPS üzerinde systemd servisleri ve zamanlayıcıları nasıl çalışır konusu birimlerin kendisini ele almaktadır.

Neden SELinux altında model dizini için izin reddediliyor

Fedora, RHEL, Rocky ve AlmaLinux üzerinde SELinux varsayılan olarak zorunlu (enforcing) moddadır. Bir container süreci container_t etki alanında çalışır ve kullanıcının ev dizinindeki bir klasör user_home_t olarak etiketlenmiştir. Politika, birinin diğerine erişmesine izin vermediği için Ollama model ağacını oluşturamaz ve container kapanır. Bu sistemlerde getenforce komutu Enforcing çıktısını verir ve reddetme işlemi şu şekilde kaydedilir:

sudo ausearch -m avc -ts recent

Etki alanını ve hedef etiketi belirten bir satır göreceksiniz:

avc:  denied  { write } for  pid=1842 comm="ollama" name="models" dev="vda1" ino=131077 scontext=system_u:system_r:container_t:s0:c214,c827 tcontext=unconfined_u:object_r:user_home_t:s0 tclass=dir permlisted=0

Volume= satırının sonundaki :Z çözümdür. Bu, ana makine dizinini container_file_t olarak yeniden etiketler ve yalnızca bu container'ın taşıdığı özel bir MCS (çoklu kategori güvenliği) kategorisi ile damgalar. Küçük harfli :z ise bunun yerine paylaşılan bir etiket kullanır; iki container aynı dizini okuduğunda istediğiniz yapı budur.

:Z hakkında bir uyarı: bu işlem yıkıcıdır ve sessizce çalışır. Yeniden etiketleme işlemi özyinelemelidir (recursive). Eğer bunu /home/ollama dizinine yönlendirirseniz, o ev dizinindeki her dosya yeniden etiketlenir ve bu durum kullanıcının SSH anahtarı erişimini bozar. :Z için her zaman başka hiçbir şey içermeyen özel bir alt dizin kullanın. Adlandırılmış birimlerin (named volumes) buna ihtiyacı yoktur, çünkü Podman bunları oluştururken doğru şekilde etiketler. Daha geniş bir bakış açısına ihtiyacınız varsa, Sunucular için SELinux temelleri başlıklı yazı bağlamları ve boolean değerlerini açıklar. Ubuntu ve Debian üzerinde bunun yerine AppArmor kullanılır; :Z orada hiçbir işlem yapmaz ve birim dosyasında bırakılması herhangi bir soruna yol açmaz.

11434 numaralı portu kapatın ve API'ye SSH üzerinden erişin

PublishPort=127.0.0.1:11434:11434, ana makine tarafını loopback arayüzüne bağlar. Bunu doğrulayın:

ss -ltnp | grep 11434
curl http://127.0.0.1:11434

ss çıktısı 127.0.0.1:11434 değerini göstermelidir. 0.0.0.0:11434 veya *:11434 ifadesi portun internete açık olduğu anlamına gelir ve curl, Ollama is running yanıtını vermelidir.

Hangi tarafı bağladığınız konusunda hassas olun. PublishPort içindeki adres, ana makine adresidir. Konteyner içinde Ollama, imajın varsayılan ayarı olan tüm arayüzleri dinlemeye devam etmelidir. Environment=OLLAMA_HOST=127.0.0.1 ayarını yapmak, Ollama'yı konteynerin kendi loopback arayüzüne bağlar; Podman ise yayınlanan trafiği konteynerin ağ adresine yönlendirir, bu nedenle her istek ana makineden bile olsa reddedilir.

Açık bir 11434 portu size iki şekilde zarar verir. Ollama'da kimlik doğrulama yoktur; bu nedenle porta erişen herkes /api/tags üzerinden modellerinizi listeleyebilir, /api/generate ile CPU'nuz ve bant genişliği kotanız üzerinden çıkarım (inference) çalıştırabilir, diskinize yeni modeller indirebilir ve mevcut olanları silebilir. İkincisi, uzak bir porta gönderilen düz HTTP, istemleri ve yanıtları açık metin (cleartext) olarak iletir; bu nedenle yol üzerindeki her makine bunları okuyabilir. Port makine dışına çıkmadığı sürece her iki sorun da ortadan kalkar.

İş istasyonunuzdan portu SSH üzerinden yönlendirin:

ssh -N -L 11434:127.0.0.1:11434 you@vps.example.com

Artık dizüstü bilgisayarınızdaki http://127.0.0.1:11434, SSH oturumunun şifrelemesi altındaki sunucunun Ollama servisidir. Dizüstü bilgisayarınızda zaten Ollama çalışıyorsa, yerel bağlama işlemi bind [127.0.0.1]:11434: Address already in use hatasıyla başarısız olur; bu durumda -L 11435:127.0.0.1:11434 kullanın ve istemcinizi 11435 portuna yönlendirin.

Bir tarayıcı istemcisi gerektiğinde, bunun yerine önüne şifre korumalı bir reverse proxy koyun. Bir Caddy site bloğu dört satırdır ve caddy hash-password, ihtiyaç duyulan bcrypt özetini (hash) yazdırır:

ollama.example.com {
  basic_auth {
    you $2a$14$replace_with_the_generated_hash
  }
  reverse_proxy 127.0.0.1:11434
}

Caddy, TLS (transport layer security) üzerinden sertifikayı otomatik olarak alır, böylece trafik şifrelenir. İstemcinizi önce test edin: Ollama ile konuşan birçok araçta Authorization başlığı için bir alan yoktur ve bu araçlar temel kimlik doğrulama (basic auth) karşısında 401 Unauthorized hatasıyla başarısız olurlar. SSH tünelinde böyle bir sorun yoktur, bu yüzden burada varsayılan öneri budur.

Bir modeli çekin ve tüm yolu kontrol edin

podman exec -it ollama ollama pull gemma3:4b
curl -s http://127.0.0.1:11434/api/tags
curl -s http://127.0.0.1:11434/api/generate -d '{"model":"gemma3:4b","prompt":"Reply with the single word: ready","stream":false}'
du -sh ~/ollama-data/models

/api/tags, gemma3:4b listesini içeren bir JSON çıktısı döndürür. /api/generate, ağırlıkların diskten yüklenmesi için geçen sürenin ardından response alanını içeren bir JSON nesnesi döndürür. du, yayınlanan indirme boyutuna yakın bir sayı bildirmelidir. Ardından, bu kılavuzun tamamının odaklandığı kısmı kanıtlayın:

sudo reboot
# reconnect, then:
sudo -iu ollama
export XDG_RUNTIME_DIR=/run/user/$(id -u)
systemctl --user is-active ollama.service

active, sürecin arka planda kaldığını; [Install] bölümünün ve daemon-reload öğesinin görevlerini yerine getirdiğini gösterir. inactive, bu üç öğeden birinin eksik olduğu anlamına gelir.

Hata modları ve karşılaşacağınız dizgeler

Yeniden başlatma sonrasında container kayboluyor. Öncelikle loginctl show-user ollama --property=Linger kontrol edilmelidir; çünkü Linger=yes olmadan kullanıcının systemd örneği açılışta başlamaz. Lingering etkinse, .container dosyasında [Install] bölümü eksiktir veya dosyayı düzenledikten sonra systemctl --user daemon-reload komutunu çalıştırmamışsınızdır.

Error: statfs /home/ollama/ollama-data: no such file or directory. Bind mount kaynağı, container başlamadan önce mevcut olmalıdır. Podman sizin yerinize ana makinedeki dizinleri oluşturmaz. ollama kullanıcısı olarak mkdir -p ~/ollama-data komutunu çalıştırın.

Başlatma 90 saniyede başarısız oluyor. journalctl --user -u ollama.service, görüntü çekme işlemi hala devam ettiği için Start operation timed out. Terminating. hatasını gösterir. Görüntüyü manuel olarak çekin veya TimeoutStartSec=900 değerini koruyun.

Container başlıyor ve hemen kapanıyor. podman logs ollama ve sudo ausearch -m avc -ts recent birlikte, sorunun SELinux etiketiyle ilgili olup olmadığını size bildirir. container_t ve user_home_t içeren bir AVC hatası, :Z eksikliği anlamına gelir.

Ana makineden gelen istekler reddediliyor. active servisi ile curl: (7) Failed to connect to 127.0.0.1 port 11434: Connection refused hatası, genellikle OLLAMA_HOST değerinin container içinde bir loopback adresine ayarlandığı anlamına gelir. Bu satırı kaldırın.

Üretim çok yavaş veya container sonlandırılıyor. GPU olmadığında çıkarım (inference) CPU üzerinde çalışır ve büyük bir model doğası gereği yavaştır. Günlük kayıtlarında signal: killed hatasıyla istek sırasında kapanan bir container, çekirdeğin bellek yetersizliği nedeniyle süreci sonlandırdığını (OOM killer) gösterir; bu durumda yukarıdaki tablodan daha küçük bir etiket seçin.

Sabitlenmiş bir imajı güncelleme

Sabitleme işlemi, güncellemelerin sizin kontrolünüzde gerçekleşmesini sağlar. Image= dosyasını ollama.container içinde düzenleyin, ardından yeniden yükleyip servisi başlatın:

systemctl --user daemon-reload
systemctl --user restart ollama.service
podman exec ollama ollama --version

Modeller bind mount içinde yer aldığından, imaj değişikliğinden etkilenmezler. [Container] bölümündeki AutoUpdate=registry, değişken etiket (moving tag) kullananlar içindir; sabit bir sürüm etiketiyle birlikte kullanıldığında bir işlevi yoktur çünkü etiketin içeriği değişmez. /home/ollama/ollama-data/models/manifests dizinini ve .container dosyasını yedekleyin; blob dosyalarını yedeklemenize gerek yoktur: bu dosyalar büyüktür ve yeni bir sunucuda ollama pull tarafından tekrar indirilirler.

FAQ

Rootless Podman konteynerim neden oturumu kapattığımda duruyor?

Kullanıcının systemd örneği ve buna bağlı /run/user/<uid> dizini, o kullanıcıya ait son oturum kapandığında sonlandırılır; bu durum tüm rootless konteynerlerin de kapanmasına neden olur. sudo loginctl enable-linger ollama komutunu çalıştırın ve loginctl show-user ollama --property=Linger çıktısının Linger=yes olduğunu doğrulayın. Quadlet birimini oluşturmadan önce lingering özelliğini etkinleştirin; çünkü birimin ihtiyaç duyduğu çalışma zamanı dizini yalnızca lingering etkinleştirildiğinde var olur.

Ollama model dizininde SELinux etiketlerine ihtiyacım var mı?

Fedora, RHEL, Rocky ve AlmaLinux üzerinde, bir ana makine dizinini bind mount ile bağlıyorsanız evet. Konteyner container_t etki alanında çalışır ve ev dizinindeki bir klasör user_home_t olarak etiketlenmiştir; bu nedenle yazma işlemi reddedilir ve Ollama kapanır. :Z ifadesini Volume= satırına ekleyin ve özel bir alt dizin kullanın; çünkü yeniden etiketleme işlemi özyinelemeli çalışır ve :Z dizinini doğrudan ev dizinine yönlendirmek, o kullanıcının SSH anahtarı erişimini bozar. Adlandırılmış birimler (named volumes) Podman tarafından doğru şekilde etiketlenir ve ek bir işlem gerektirmez.

Bir Ollama modeli ne kadar disk alanına ihtiyaç duyar?

ollama.com/library adresinde yayınlanan indirme boyutunu baz alın; bu boyut gemma3:4b için 3.3 GB ile qwen3:30b için 19 GB arasında değişmektedir. Üzerine Podman imaj boyutunu ekleyin ve boşluk bırakın; çünkü ikinci bir model disk üzerinde ilkini değiştirmez. İndirme öncesinde df -h /home, sonrasında ise du -sh ~/ollama-data/models komutuyla kontrol edin. RAM planlamasını da aynı şekilde yapın: bir model yüklendiğinde, dosya boyutuna ek olarak bağlam penceresi (context window) kadar belleğe ihtiyaç duyar.

Bir VPS üzerinde 11434 numaralı portu dış dünyaya açmak güvenli mi?

Hayır. Ollama herhangi bir kimlik doğrulama mekanizması olmadan gelir; bu nedenle porta erişebilen herkes modellerinizi listeleyebilir, silebilir, diskinize yenilerini indirebilir ve CPU'nuz ile bant genişliğinizi kullanarak çıkarım (inference) yapabilir. İnternet üzerinden düz HTTP kullanımı, tüm istemlerin ve yanıtların açık metin olarak iletilmesine neden olur. Ana makine tarafındaki bağlantıyı 127.0.0.1 ile PublishPort=127.0.0.1:11434:11434 üzerinden sınırlandırın, ss -ltnp | grep 11434 ile doğrulayın ve servise bir SSH tüneli veya parola korumalı bir reverse proxy üzerinden erişin.