企业官网建设流程全解析

1. 项目缘起与整体架构设计

1.1 为什么要在云服务器上折腾 Deepseek Harness

Deepseek Harness 这个工具，第一次接触的人可能会有点懵——它本质上是一个围绕 Deepseek 系列模型构建的本地化交互与任务编排框架，你可以把它理解成一个“模型能力调度中枢”。它本身不训练模型，而是负责把模型推理、插件调用、Skill 执行、文件读写这些动作串起来，形成一个可复用的工作流。很多人一开始是在自己笔记本上跑，跑通了觉得挺爽，但一旦想让它 7×24 小时待命、想让团队里其他人也能用、想让它定时抓数据或者处理长任务，本地机器就不够看了——关机就断，网络也不稳定。

这时候云服务器就成了最自然的选择。我自己的场景是：需要让 Harness 持续监听一些任务队列，同时通过公网让几个协作的同事能访问 Web 界面提交任务。但直接暴露端口是绝对不行的，所以必须加一层反向代理做鉴权。整个架构说白了就三层：最底层是云服务器上的 Harness 服务本身，中间是 Nginx 或 Caddy 做反向代理和鉴权，最外层是公网域名和 HTTPS。这个结构不复杂，但每一步都有坑，下面我按实际部署顺序拆开讲。

1.2 反向代理选 Nginx 还是 Caddy

这是部署前第一个要拍板的事。热词里同时出现了 Nginx 和 Caddy，说明很多人都在纠结。我的建议很直接：如果你追求配置简洁、自动 HTTPS、不想折腾证书续期，选 Caddy；如果你需要精细控制 location 匹配规则、需要复杂的负载均衡或者已经有 Nginx 运维经验，选 Nginx。

Caddy 的最大优势是 Caddyfile 写起来极其干净，一个域名两行配置就能自动申请并续期 Let's Encrypt 证书，对于个人项目和小团队来说省心太多。Nginx 的优势在于生态成熟、资料多、性能调优空间大，尤其是 location 的工作流机制非常灵活，适合需要按路径分流、按 header 鉴权、限流限速的场景。我这次两个都试了，最后生产环境用的是 Nginx，原因是需要做基于 API Key 的细粒度鉴权，Nginx 的 map 和 if 组合更顺手。但如果你只是想快速跑起来，Caddy 真的能让你少熬两个小时。

1.3 云服务器规格怎么选

Harness 本身不吃太多 CPU，但如果你要接本地模型推理或者跑 Skill 里的重任务，内存和磁盘 IO 就是瓶颈。我的实测经验是：纯做代理和任务编排，2 核 4G 够用；如果要跑嵌入模型或者做文档解析，至少 4 核 8G，磁盘建议 SSD 且不低于 40G。系统选 Ubuntu 22.04 或 CentOS 9 都行，热词里出现了 centos9 caddy，说明 CentOS 9 上跑 Caddy 是有人验证过的。我这次用的是 Ubuntu 22.04，因为 Harness 的一些依赖在 apt 源里更全。

注意：不要选那种“免费云服务器”或者来路不明的小厂机器，Harness 涉及模型调用和文件读写，数据安全是第一位的。选主流云厂商的按量付费实例，部署完再转包月，成本可控。

2. 云服务器基础环境搭建

2.1 系统初始化与安全组配置

拿到服务器第一件事不是装软件，而是把安全基线做掉。我习惯先更新系统、创建非 root 用户、配置 SSH 密钥登录、关掉密码登录。这几步看起来老生常谈，但每次偷懒都会在后面付出代价。具体命令如下：

# 更新系统包 apt update && apt upgrade -y # 创建部署用户 adduser deploy usermod -aG sudo deploy # 配置 SSH 密钥（在本地生成后上传公钥） mkdir -p /home/deploy/.ssh chmod 700 /home/deploy/.ssh # 将本地 ~/.ssh/id_rsa.pub 内容写入 authorized_keys chmod 600 /home/deploy/.ssh/authorized_keys chown -R deploy:deploy /home/deploy/.ssh # 修改 SSH 配置禁用密码登录 sed -i 's/^#PasswordAuthentication yes/PasswordAuthentication no/' /etc/ssh/sshd_config systemctl restart sshd

安全组方面，只开放 22（SSH）、80（HTTP）、443（HTTPS）三个端口。Harness 本身的服务端口比如 8080 或者 3000，绝对不要对公网开放，只监听 127.0.0.1，让反向代理去转发。这是整个公网鉴权访问的核心原则：内部服务不直接暴露，所有流量必须经过代理层。

2.2 安装 Docker 与 Docker Compose

Harness 的部署方式有裸机和容器两种。我强烈建议用 Docker，原因是依赖隔离干净、升级回退方便、迁移也简单。热词里出现了“使用docker pull 安装 nginx”，说明容器化部署是主流做法。安装 Docker 的步骤如下：

# 安装依赖 apt install -y ca-certificates curl gnupg lsb-release # 添加 Docker 官方 GPG key mkdir -p /etc/apt/keyrings curl -fsSL https://download.docker.com/linux/ubuntu/gpg | gpg --dearmor -o /etc/apt/keyrings/docker.gpg # 添加源 echo "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.gpg] https://download.docker.com/linux/ubuntu $(lsb_release -cs) stable" | tee /etc/apt/sources.list.d/docker.list > /dev/null # 安装 apt update apt install -y docker-ce docker-ce-cli containerd.io docker-compose-plugin # 将 deploy 用户加入 docker 组 usermod -aG docker deploy

装完之后退出重新登录，让 docker 组权限生效。验证一下docker run hello-world能跑通就行。Docker Compose 现在已经是插件形式，命令是docker compose而不是老的docker-compose，这个细节很多人会搞混。

2.3 目录规划与数据持久化

我习惯把所有服务相关的东西放在/opt下面，结构清晰，备份也方便。规划如下：

/opt/harness/ ├── docker-compose.yml ├── data/ # Harness 数据目录 ├── config/ # 配置文件 ├── logs/ # 日志 └── nginx/ ├── conf.d/ ├── certs/ └── nginx.conf

数据目录一定要挂载到宿主机，不然容器一删数据就没了。Harness 的 Skill 配置、插件数据、任务记录都在 data 目录里，这个坑我踩过一次，重装容器后所有 Skill 配置全丢，只能从头配。

3. Deepseek Harness 部署与配置

3.1 拉取镜像与首次启动

Harness 的镜像来源要认准官方或者可信的仓库。热词里有人问“deepseek harness无法安装”，大部分情况是镜像源不对或者网络问题。我的做法是先docker pull拉下来，确认镜像完整再启动。

# 拉取镜像（以实际官方镜像名为准） docker pull deepseek/harness:latest # 查看镜像 docker images | grep harness

首次启动建议先用最简配置跑起来，确认服务本身没问题，再加反向代理。docker-compose.yml 初版如下：

version: '3.8' services: harness: image: deepseek/harness:latest container_name: harness restart: unless-stopped ports: - "127.0.0.1:8080:8080" volumes: - ./data:/app/data - ./config:/app/config - ./logs:/app/logs environment: - HARNESS_PORT=8080 - HARNESS_DATA_DIR=/app/data - TZ=Asia/Shanghai

注意端口映射写的是127.0.0.1:8080:8080，前面加了127.0.0.1就只监听本地回环，公网访问不到。这是安全的关键一步，很多人直接写8080:8080，等于把服务裸奔在公网上。

启动命令：

cd /opt/harness docker compose up -d docker compose logs -f harness

看到日志里输出服务启动成功的提示，并且curl http://127.0.0.1:8080能返回内容，就说明 Harness 本体没问题了。

3.2 Skill 与插件的安装配置

Harness 的核心价值在于 Skill 和插件体系。热词里大量出现“deepseek harness插件推荐”“deepseek harness附带skill怎么部署到内网服务器”，说明这是大家最关心的部分。Skill 本质上是一组预定义的任务模板和工具调用链，插件则是扩展 Harness 能力的模块。

安装 Skill 的通用流程是：把 Skill 包放到 data/skills 目录下，然后在 config 里注册。以文件读取 Skill 为例：

# 假设 Skill 包是 zip 格式 cd /opt/harness/data/skills unzip file-reader-skill.zip -d file-reader # 确认目录结构 ls file-reader/ # 应该看到 manifest.json、handler.py 等文件

然后在 config/harness.yaml 里注册：

skills: - name: file-reader path: /app/data/skills/file-reader enabled: true permissions: - read:/app/data/workspace

注意：热词里有人遇到“deepseek harness skill读取文件报权限问题 setnamedsecurityinfow failed”，这是 Windows 下的权限错误。在 Linux 云服务器上，对应的问题是容器内用户 UID 和宿主机文件属主不一致。解决办法是在 docker-compose 里指定 user，或者把 data 目录权限设为 777（测试环境）或 chown 到容器内用户 UID。

插件安装类似，放到 data/plugins 目录并在配置里启用。我常用的几个插件包括：提示词优化插件、代码回退插件、LLM Wiki 接入插件。提示词优化插件对写综述和 coding 场景帮助很大，代码回退插件在调试 Skill 时能省很多时间。

3.3 接入模型与 API Key 管理

Harness 本身不提供模型，需要接入外部模型服务。热词里“deepseek harness接入免费模型”和“nginx 代理 ollama 设置apikey cherrystudio”都指向这个环节。接入方式有两种：直接调云端 API，或者通过反向代理接入本地 Ollama。

直接调云端 API 的配置：

models: - name: deepseek-chat provider: openai-compatible base_url: https://api.deepseek.com/v1 api_key: ${DEEPSEEK_API_KEY} model: deepseek-chat

API Key 不要硬编码在配置文件里，用环境变量注入。在 docker-compose 里加：

environment: - DEEPSEEK_API_KEY=${DEEPSEEK_API_KEY}

然后在宿主机/opt/harness/.env文件里写实际的 Key，这个文件权限设为 600，且不要提交到任何版本控制。

如果要接本地 Ollama，就在同一台服务器或者内网另一台机器上跑 Ollama，Harness 通过内网地址访问。这时候 Nginx 可以再做一层代理，给 Ollama 的 API 加上 Key 鉴权，防止内网其他机器随意调用。

4. 反向代理与公网鉴权实战

4.1 Nginx 安装与核心配置结构

Nginx 的安装方式我推荐用系统包管理器，比 Docker 跑 Nginx 更直接，日志和配置路径也符合直觉。热词里“nginx下载教程”“nginx下载”出现频率很高，说明很多人卡在安装这一步。Ubuntu 下就一条命令：

apt install -y nginx systemctl enable nginx systemctl start nginx

装完之后配置文件在/etc/nginx/，主配置是 nginx.conf，站点配置放 sites-available 和 sites-enabled。我习惯在 conf.d 下建独立配置文件，结构更清晰。

Nginx 的 location 工作流机制是核心，热词里“nginx中location工作流机制”“nginx中location工作原理”被反复搜索。简单说，Nginx 收到请求后，先按 server 块匹配域名和端口，再按 location 的匹配规则决定用哪个块处理。匹配顺序是：精确匹配=优先级最高，然后是前缀匹配^~，再是正则匹配~和~*，最后是普通前缀匹配。理解这个顺序，才能写出正确的鉴权和转发规则。

4.2 基于 API Key 的鉴权方案

公网鉴权访问的核心就是：不是谁都能访问 Harness。我的方案是在 Nginx 层做 API Key 校验，请求头里必须带正确的 Key 才放行。配置如下：

map $http_x_api_key $api_key_valid { default 0; "你的密钥字符串" 1; } server { listen 80; server_name harness.yourdomain.com; return 301 https://$server_name$request_uri; } server { listen 443 ssl http2; server_name harness.yourdomain.com; ssl_certificate /etc/nginx/certs/fullchain.pem; ssl_certificate_key /etc/nginx/certs/privkey.pem; location / { if ($api_key_valid = 0) { return 401; } proxy_pass http://127.0.0.1:8080; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; proxy_read_timeout 300s; proxy_send_timeout 300s; } }

这个配置的逻辑是：用 map 指令把请求头里的 X-API-Key 映射成 0 或 1，然后在 location 里判断，无效就返回 401。密钥字符串建议用openssl rand -hex 32生成，足够长且随机。

注意：if指令在 location 里有“if is evil”的说法，但在这种简单判断场景下是安全的。更优雅的做法是用auth_request模块或者map配合return，但对于个人项目来说，上面的写法足够可靠。

4.3 HTTPS 证书配置与自动续期

HTTPS 是公网访问的底线，没有 HTTPS 的 API Key 等于明文传输。证书获取有两条路：用 certbot 申请 Let's Encrypt 免费证书，或者用 Caddy 自动管理。Nginx 方案下我用 certbot：

apt install -y certbot python3-certbot-nginx certbot --nginx -d harness.yourdomain.com

certbot 会自动修改 Nginx 配置并设置续期定时任务。验证续期是否正常：

certbot renew --dry-run

热词里“nginx转发https 反向代理 net::err_cert_common_name_invalid”这个错误，通常是证书域名和访问域名不匹配导致的。检查 certbot 申请时填的域名和实际访问的是否一致，以及 Nginx 配置里 server_name 是否对应。

4.4 Caddy 方案对比与快速上手

如果你决定用 Caddy，配置会简洁到令人感动。Caddyfile 内容如下：

harness.yourdomain.com { @auth { not header X-API-Key "你的密钥字符串" } respond @auth 401 reverse_proxy 127.0.0.1:8080 }

就这几行，HTTPS 证书自动申请续期，鉴权也做了。Caddy 在 CentOS 9 上的安装：

dnf install -y dnf-plugins-core dnf copr enable @caddy/caddy dnf install -y caddy systemctl enable caddy systemctl start caddy

Caddy 的配置修改后重载用systemctl reload caddy。对比下来，Caddy 适合快速上线，Nginx 适合精细控制。我两个都保留着，Nginx 跑生产，Caddy 跑测试环境。

5. 常见问题排查与避坑经验

5.1 部署阶段高频问题速查

5.2 性能与并发调优

热词里“nginx最大并发链接数老是用超”是个典型问题。Nginx 默认 worker_connections 是 512，对于 Harness 这种长任务场景可能不够。调优方向：

events { worker_connections 4096; multi_accept on; } http { keepalive_timeout 65; client_max_body_size 100m; proxy_buffering off; }

proxy_buffering off对 Harness 的流式输出很关键，不然响应会被 Nginx 缓冲，前端看到的是“卡住然后一次性出来”。client_max_body_size要调大，因为上传 Skill 包或者大文件时默认 1M 会直接 413。

5.3 日志查看与问题定位

Nginx 访问日志在/var/log/nginx/access.log，错误日志在 error.log。Windows 下查看 Nginx 日志的工具热词里也有人问，但在 Linux 服务器上直接tail -f就够了。Harness 的日志在/opt/harness/logs/下，容器日志用docker compose logs -f。

我定位问题的顺序是：先看 Nginx error.log 有没有报错，再看 access.log 的响应码，然后看 Harness 容器日志，最后看 Harness 应用日志。这个顺序能覆盖 90% 的问题。

实操心得：在 Nginx 配置里加add_header X-Debug-Upstream $upstream_addr;可以在响应头里看到实际转发到了哪个后端，排查多后端场景特别有用。

5.4 离线与内网部署的注意事项

热词里“deepseek harness可以在离线局域网使用吗”和“deepseek harness附带skill怎么部署到内网服务器”说明内网部署是刚需。离线部署的核心是：所有镜像、Skill 包、插件、模型文件都要提前下载好，通过内网传输。Docker 镜像用docker save导出成 tar，内网机器docker load导入。Skill 和插件直接拷贝目录。模型如果走本地 Ollama，也要提前把模型文件拉好。

内网环境下 Nginx 鉴权可以简化，但建议保留 API Key 机制，防止内网横向移动。HTTPS 在内网可以用自签证书，但要在客户端信任证书链，否则会报证书错误。

6. 日常运维与扩展思路

6.1 备份与升级策略

Harness 的数据目录必须定期备份。我的做法是每天凌晨用 cron 打包 data 和 config 目录，保留最近 7 天：

# /etc/cron.daily/harness-backup #!/bin/bash DATE=$(date +%Y%m%d) tar -czf /opt/backup/harness-$DATE.tar.gz /opt/harness/data /opt/harness/config find /opt/backup -name "harness-*.tar.gz" -mtime +7 -delete

升级 Harness 时，先docker compose pull拉新镜像，然后docker compose up -d重建容器。升级前务必备份，因为 Skill 和插件的兼容性不一定向前兼容。如果升级出问题，回退就是改回旧镜像 tag 再 up 一次。

6.2 多端口与多站点扩展

热词里“本地+虚拟机 多端口nginx 开发环境多站点自定义域名配置”是个很实用的场景。如果你在一台服务器上跑多个 Harness 实例或者多个服务，可以用 Nginx 按域名或路径分流。按域名分流就是多个 server 块，按路径分流就是多个 location。我目前是一台机器跑生产 Harness 和测试 Harness，用不同子域名区分，配置互不干扰。

6.3 后续可以尝试的方向

Harness 的插件生态还在发展，提示词优化插件和代码回退插件我已经用上了，效果不错。后续想试试把 Harness 接入到 CI 流程里，让它在代码提交后自动跑一轮 Skill 做代码审查。另外 Kubernetes 部署 Nginx 和 Harness 也在计划中，等单机跑稳定了再往集群迁移。热词里“kubernetes 部署nginx”和“ubuntu mysql nginx wordpress”说明容器编排和传统 LAMP 栈都有人在用，但 Harness 的场景更适合容器化，K8s 是自然的下一步。

我在实际部署中最大的体会是：安全边界要在架构设计阶段就画好，不要等出了问题再补。Harness 服务只监听回环、Nginx 做鉴权和 TLS 终止、API Key 用环境变量注入、数据目录定期备份，这四条做到了，基本就不会出大问题。踩过的坑主要集中在权限和证书上，前者靠统一 UID 解决，后者靠 certbot 自动续期解决。剩下的就是根据实际负载调 Nginx 参数，这个没有银弹，只能边跑边观察。