1. 纯 CPU 云主机跑 openEuler Intelligence 智能助手，到底卡在哪
openEuler Intelligence 智能助手是 openEuler 社区推出的智能化平台，简单说就是把大模型问答、本地知识库检索、工作流编排打包成一套能自己部署的服务。它适合谁？适合手里只有普通云主机、没有 GPU 预算，又想在内网搭一套知识问答系统的运维和开发同学。我这次拿到的是一台华为云通用计算增强型 c6s.8xlarge.2，32 核 Intel Xeon Gold 6278C、64GB 内存、100GB SSD，系统是 openEuler 22.03 LTS SP3，全程纯 CPU，不挂任何加速卡。
很多人第一反应是：没 GPU 能跑得动吗？实测下来，7B 级别的模型在 32 核 CPU 上做短问答是能用的，首字延迟大概几秒，长文生成会慢一些，但作为内部知识助手完全够。真正让人头疼的不是算力，而是部署链路上的坑：K3s 起不来、Ollama 用户创建失败、模型下载卡住、容器镜像拉取超时。这篇就把华为云纯 CPU 环境从零到能对话的完整过程拆开讲，包括后面怎么用 TaoToken 把外部模型通道统一接进来，省得每个模型都单独配 Key。
先说清楚这套东西的组成。openEuler Intelligence 底层是 K3s 轻量 Kubernetes，上面跑 Ollama 做本地推理，再叠 MinIO 对象存储、OpenGauss 数据库、Redis 缓存、AuthHub 认证，最后是 web 前端和 rag 检索服务。整个部署脚本在 euler-copilot-framework 仓库里，一键脚本会按阶段把环境检查、K3s 安装、Ollama 部署、模型拉取、数据库集群、认证服务、核心服务依次拉起来。你要做的，是提前把系统层和网络层的地基打平，否则脚本跑到一半就会因为 SELinux、swap、内核模块这些小事挂掉。
我踩过的坑里，最典型的是防火墙和 SELinux 没关干净，K3s 的 6443 端口通信被拦，Pod 一直 Pending。另一个是 Ollama 安装时脚本想创建 ollama 用户却报 invalid user name，原因是系统里已经有同名残留。这些都会在下面章节给出具体命令和排查方法。整篇的目标很明确：让你在一台纯 CPU 华为云 ECS 上，复制粘贴就能把 openEuler Intelligence 跑起来，并且知道每一步在干什么、错了怎么救。
2. 华为云 ECS 环境准备与 openEuler Intelligence 部署前置条件
这一章把地基打完。你登录华为云控制台开一台 ECS，镜像选 openEuler 22.03 LTS SP3，规格按 c6s.8xlarge.2 来，内存至少 32GB，因为后面要同时跑 Ollama、数据库和一堆容器。安全组入方向放行 TCP 80、443、6443、30080、30081，出方向全放，不然模型和镜像下不来。
登录机器后先确认系统信息，这几条命令建议原样跑一遍：
cat /etc/os-release uname -r lscpu | grep "Model name" lscpu | grep "^CPU(s):" free -h df -h正常输出里，VERSION_ID="22.03"，内核5.10.0-60.139.0.166.oe2203.x86_64，CPU 32 核，内存 62Gi 左右，根分区 99G。如果内存低于 32G，建议先升配，否则 OpenGauss 加 Ollama 会把内存吃满触发 OOM。
接着配本地域名解析。openEuler Intelligence 的 AuthHub 和前端用固定域名访问，直接在/etc/hosts里指到本机：
vim /etc/hosts加入两行：
127.0.0.1 authhub.eulercopilot.local 127.0.0.1 www.eulercopilot.local防火墙这块，测试环境直接停掉最省事，生产环境请改成精细放行：
systemctl stop firewalld systemctl disable firewalld如果你坚持用 firewalld，至少要放这些端口：
firewall-cmd --permanent --add-port=80/tcp firewall-cmd --permanent --add-port=443/tcp firewall-cmd --permanent --add-port=6443/tcp firewall-cmd --permanent --add-port=30080/tcp firewall-cmd --permanent --add-port=30081/tcp firewall-cmd --reload系统优化是重头戏。SELinux 会拦容器挂载，先关：
setenforce 0 sed -i 's/^SELINUX=enforcing/SELINUX=disabled/' /etc/selinux/configK3s 官方建议禁用 swap，否则调度会出问题：
swapoff -a sed -i '/swap/d' /etc/fstab加载内核模块并写进开机加载：
modprobe br_netfilter modprobe overlay cat > /etc/modules-load.d/k3s.conf <<EOF br_netfilter overlay EOF配置网桥转发参数：
cat > /etc/sysctl.d/k3s.conf <<EOF net.bridge.bridge-nf-call-iptables = 1 net.bridge.bridge-nf-call-ip6tables = 1 net.ipv4.ip_forward = 1 EOF sysctl --system最后抬高文件描述符和进程数限制，容器多了默认值不够用：
cat >> /etc/security/limits.conf <<EOF * soft nofile 65536 * hard nofile 65536 * soft nproc 65536 * hard nproc 65536 EOF ulimit -n 65536做完这些，sysctl --system应该没有报错，ulimit -n返回 65536。到这一步，系统层就干净了，可以进部署脚本。这里提醒一句，华为云安全组和系统防火墙是两层，别只关了一层就以为通了，我见过有人 firewalld 停了但安全组没放 6443，K3s 照样起不来。
3. 一键部署脚本与 Ollama、DeepSeek 模型配置实战
环境干净后开始拉代码。先装 git，然后克隆部署仓库：
dnf install -y git cd /home git clone https://gitee.com/openEuler/euler-copilot-framework.git -b dev cd euler-copilot-framework/deploy/scripts chmod +x ./* chmod +x ./0-one-click-deploy/one-click-deploy_zh.sh ls -lh脚本目录里能看到deploy.sh、check_env.sh、install_k3s.sh等文件。直接跑主脚本：
bash deploy.sh会出现菜单，选 0 走一键自动部署：
============================== 主部署菜单 ============================== 0) 一键自动部署 1) 手动分步部署 2) 重启服务 3) 卸载所有组件并清除数据 4) 退出程序 ============================== 请输入选项编号（0-4）: 0脚本会分阶段执行。阶段 1 环境检查，确认 SELinux 和防火墙已关。阶段 2 装 K3s v1.30.2 和 Helm v3.15.0，装完systemctl status k3s应该是 active。阶段 3 部署 Ollama 0.6.5，这一步可能报invalid user name: ollama或group 'ollama' does not exist，脚本会自动补建用户，如果卡住就手动来：
groupadd ollama useradd -r -g ollama -s /sbin/nologin ollama阶段 4 拉 DeepSeek 模型。脚本默认拉deepseek-llm-7b-chat，你也可以手动确认：
ollama pull deepseek-llm-7b-chat ollama list拉完测试一下：
ollama run deepseek-llm-7b-chat "用一句话介绍 openEuler"能返回诗句或正常回答就说明推理通了。Ollama 的 API 默认在http://localhost:11434，OpenAI 兼容接口是http://localhost:11434/v1/chat/completions，流式把stream设成true即可。
阶段 5 部署 bge-m3 嵌入模型，418MB 的 GGUF 格式，从 ModelScope 下载，CPU 模式跑，上下文 4096。验证：
ollama run bge-m3 "测试"阶段 6 到 8 依次起 MinIO、OpenGauss、Redis、AuthHub 和核心服务。全部完成后kubectl get pod -n euler-copilot应该看到一堆 Running。访问地址：
EulerCopilot UI: http://authhub.eulercopilot.local:30080 AuthHub 管理界面: http://www.eulercopilot.local:30081 默认账号: administrator 默认密码: changeme现在讲怎么把外部模型通道统一接进来。openEuler Intelligence 支持 OpenAI 兼容接口，TaoToken 提供统一 Key 通道，Base URL 是https://taotoken.net/api。在平台设置里新增模型时填三项：Base URL、API Key、Model ID。如果你用 Claude Code 或 Cline 这类工具，配置片段长这样，注意路径和字段名要对齐：
{ "models": [ { "name": "taotoken-deepseek", "provider": "openai", "baseUrl": "https://taotoken.net/api", "apiKey": "sk-你的Key", "modelId": "deepseek-chat" } ] }Codex 的auth.json写法：
{ "base_url": "https://taotoken.net/api", "api_key": "sk-你的Key", "model": "deepseek-chat" }Cline MCP 场景下，在 MCP 配置里同样填 Base URL、Key、Model ID 三件套。这样本地 Ollama 跑内网知识库，外部模型走统一通道，不用每个模型单独维护 Key。Key 在控制台创建，地址是https://taotoken.net/api-keys，模型对话入口在https://taotoken.net/chat，长期编码或 Agent 任务可以看https://taotoken.net/coding-plan。
4. 验证请求与 CPU 推理性能实测结果
部署完不能只看 Pod Running 就完事，得真发请求验证。先看集群状态：
kubectl get pod -n euler-copilot kubectl top node kubectl top pod -n euler-copilotkubectl top需要 metrics-server，如果报错就先跳过，用kubectl describe pod看资源。正常情况 Ollama 那个 Pod 的 CPU 占用会比较高，因为纯 CPU 推理全靠它。
直接打 Ollama 接口验证：
curl http://localhost:11434/v1/chat/completions \ -H "Content-Type: application/json" \ -d '{ "model": "deepseek-llm-7b-chat", "messages": [{"role": "user", "content": "你好，介绍一下你自己"}], "stream": false }'返回 JSON 里有choices[0].message.content就说明推理链路通。如果返回reading choices相关报错，多半是模型名写错或模型没拉下来，ollama list确认一下。
再验证 TaoToken 通道。用 curl 打统一接口：
curl https://taotoken.net/api/v1/chat/completions \ -H "Authorization: Bearer sk-你的Key" \ -H "Content-Type: application/json" \ -d '{ "model": "deepseek-chat", "messages": [{"role": "user", "content": "回复 OK"}], "stream": false }'返回正常内容说明 Key 和 Base URL 都对。如果 401，检查 Key 有没有复制全、有没有多余空格。
性能方面，纯 CPU 32 核跑 7B 模型，短问答首字延迟 3 到 8 秒，生成速度大概每秒 3 到 6 个 token，长文会明显慢。bge-m3 嵌入模型很快，几百毫秒出结果。内存占用上，Ollama 加载 7B 模型大概吃 8 到 12GB，加上数据库和容器，64GB 内存余量充足。如果你只有 32GB，建议把模型换成更小的量化版本。
平台功能验证：登录 EulerCopilot UI，左下角设置进模型配置页，上传一个 PDF 或 Markdown 文档，等向量化完成，然后针对文件提问。能基于文档内容回答，说明 RAG 检索链路正常。这一步是 openEuler Intelligence 的核心价值，本地知识库不上传外网，适合企业内部资料问答。
5. 部署常见报错排查：401、local proxy failed 与 OAuth 问题
部署和使用过程中，报错集中在几类。第一类是 401，出现在调 TaoToken 或平台模型配置时。原因通常是 Key 无效、Base URL 写错、或者请求头格式不对。检查Authorization: Bearer sk-xxx有没有漏 Bearer，Base URL 是不是https://taotoken.net/api，注意不要多加/v1重复路径。平台里配置模型时，Base URL 和 Model ID 要分开填，别把模型名塞进 URL。
第二类是local proxy failed，一般出现在容器内访问外部接口时。纯 CPU 环境里 Ollama 在宿主机，容器要访问它得用宿主机 IP 或host.docker.internal，不能写localhost，因为容器里的 localhost 是容器自己。检查平台模型配置里的 Ollama 地址，改成http://172.31.8.150:11434这种内网 IP。如果还是失败，kubectl exec进容器 curl 一下确认网络通不通。
第三类是reading choices报错，说明请求发出去了但响应结构不对。常见于模型名不匹配，比如你拉的是deepseek-llm-7b-chat，请求里写了deepseek-chat。用ollama list看准确名字，请求里原样填。另外流式和非流式返回结构不同，解析代码要对应。
第四类是 OAuth 相关报错，出现在 AuthHub 登录或 token 刷新时。默认账号administrator/changeme，首次登录后建议改密码。如果 OAuth 回调失败，检查/etc/hosts里两个域名有没有配，端口 30080 和 30081 有没有放行。AuthHub 的 token 过期后重新登录即可，别去手动改数据库。
第五类是 K3s 相关。kubectl get pod一直 Pending，先看kubectl describe pod的事件，多半是资源不足或镜像拉不下来。镜像拉取超时的话，检查出方向网络，华为云 ECS 默认能出公网，但如果你绑了弹性公网 IP 且带宽小，拉大镜像会慢。kubectl top报 metrics 不可用，是 metrics-server 没装，不影响功能。
第六类是 Ollama 用户问题。前面提过invalid user name: ollama，手动groupadd和useradd补上，然后systemctl restart ollama。如果 Ollama 服务起不来，journalctl -u ollama -n 50看日志，常见是端口 11434 被占或模型目录权限不对。
排查顺序建议：先kubectl get pod -n euler-copilot看谁没起来，再kubectl logs看具体容器日志，最后回到系统层查网络和资源。别一上来就重装，大部分问题改个配置重启就好。
6. 统一 Key 通道接入与长期使用建议
把 openEuler Intelligence 跑起来只是第一步，长期用下去要考虑模型通道的维护。本地 Ollama 适合内网知识库和敏感数据，外部模型适合需要更强推理或更大上下文的场景。TaoToken 的统一 Key 通道好处是一个 Key 管多个模型，Base URL 固定https://taotoken.net/api，换模型只改 Model ID，不用动其他配置。
接入文档在https://taotoken.net/doc，里面有各语言的调用示例。API Key 管理在https://taotoken.net/api-keys，建议按项目建不同 Key，方便排查和回收。模型对话可以直接在https://taotoken.net/chat试，确认模型可用再写进配置。如果你要长期跑编码或 Agent 任务，https://taotoken.net/coding-plan有对应的方案，Claude Code 接入看https://taotoken.net/claude-code-anthropic。
日常维护上，Ollama 模型目录会越来越大，定期ollama list清理不用的模型。K3s 的镜像和日志也占空间，crictl rmi --prune可以清无用镜像。数据库和 MinIO 的数据在/var/lib/eulercopilot附近，备份就备这个目录。AuthHub 默认密码一定要改，别裸奔在公网。
最后给个实用技巧：把常用模型的配置写成一份 JSON 放版本管理里，换机器时直接导入，省得重新填。纯 CPU 环境别追求大模型，7B 量化版是甜点，再大延迟就影响体验了。整套跑通后，你就有了一套内网可用的智能助手，本地知识库加统一外部通道，成本和可控性都握在自己手里。
