从零搭建算力中转站：服务器、宝塔与 New API 完整部署指南（TaoToken 统一 Key 接入版）

1. 为什么我要在服务器上折腾一个算力中转站手里有几个合法申请的模型服务账号项目 A 用一套 Base URL 和 Key脚本 B 又填了另一套客户端 C 还藏着一份。哪天想换上游、想统计谁调了多少、想给同事开一个只能调某个模型的临时权限整个配置就像被猫抓过的毛线团。算力中转站就是解决这个问题的它不生产模型能力只做三件事——把你已获授权的上游模型服务统一到一个 OpenAI 兼容入口把上游密钥留在服务器里再把 Token、调用日志和额度放到一个可管理的地方。这篇文章面向第一次接触服务器的读者走的是单台 Ubuntu 服务器、单机 SQLite、宝塔面板加 Docker 应用商店的图形化路径。适合个人、内部小团队和学习环境。生产级多节点、MySQL、Redis、支付计费都不在本文范围内。整条链路是这样的用户请求先到你的域名宝塔里的 Nginx 把它转给本机的 New API 容器New API 用你保存的上游 Key 调用模型服务最后把兼容 OpenAI 格式的结果原路返回。这里会出现两类 Key千万别混。上游 API Key 只放在 New API 的渠道配置里用来访问你已授权的模型供应商它像总钥匙绝不离开服务器。New API Token 放在客户端、脚本或团队成员的配置里用来访问你的中转站它像可单独作废的门禁卡可以按用途、额度、模型和 IP 拆分。只有在你对上游账号、API Key 和模型服务拥有合法使用权时才应继续下面的步骤。不要把上游 API Key 发给他人也不要把中转服务当成公开售卖或规避规则的工具。2. 服务器、域名与 TaoToken 统一 Key 的前置准备2.1 服务器规格与安全组对于这套单机部署一台公网 Linux 云服务器就够了。系统选 Ubuntu 22.04 LTS 或更新的 LTS起步规格 1 核 2 GB 内存硬盘 20 GB 以上 SSD网络需要一个公网 IPv4登录方式优先 SSH 密钥。创建实例后把公网 IP、SSH 用户名和私钥或初始密码保存好后面每一步都会用到。云厂商控制台里的安全组只放行这些端口22 用于 SSH 管理最好限制为自己的固定 IP80 用于域名验证与 HTTP 跳转443 用于正式 HTTPS API 服务宝塔面板端口初期可放行完成后限制为自己的 IP3000 不要对公网放行它仅供服务器本机的反向代理连接 New API。把 3000 暴露在公网等于绕开了域名 HTTPS 和前置站点配置给以后排障添麻烦。2.2 域名解析核对假设你的域名是liquidchain.cnDNS 里需要一条的 A 记录指向服务器公网 IP。不需要额外新增api子域名后文所有涉及中转入口的地方都直接填写liquidchain.cn。在自己电脑的终端执行nslookup liquidchain.cn如果结果里的 Address 是你的服务器公网 IP解析就已经可用。DNS 有缓存刚修改时等一会儿很正常。不要在 IP 还没解析正确时申请证书不然验证会直接失败。2.3 第一次 SSH 登录与基础更新macOS、Linux 和 Windows PowerShell 都可以这样连接ssh root你的服务器公网IP如果云厂商给的是普通用户例如ubuntu就把root换成实际用户名。第一次连接会问是否信任主机指纹核对云控制台信息后输入yes。登录成功先执行一次基础更新sudo apt update sudo apt upgrade -y2.4 TaoToken 统一 Key 通道的定位在配置 New API 渠道之前先把上游通道想清楚。TaoToken 提供统一的 Key 与 API 通道官网入口是 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content API 地址是 https://taotoken.net/api 。你可以把它理解成上游供应商之一在 New API 里新建渠道时把它的 API 地址填进 Base URL把从控制台申请的 Key 填进 API Key 字段。这样你的中转站对外仍然只暴露自己的域名上游密钥留在服务器里客户端拿到的始终是你自己签发的 New API Token。如果你还没申请 Key可以先到控制台创建https://taotoken.net/console?utm_sourcetaotoken_aicg_blog_endutm_contentconsoleutm_campaignrewrite 。创建完成后在 API Keys 页面复制完整 Keyhttps://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_contentapi-keysutm_campaignrewrite 。接入细节可以对照文档https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_contentdocutm_campaignrewrite 。想先验证模型是否可用可以直接在模型对话页试一次https://taotoken.net/chat?utm_sourcetaotoken_aicg_blog_endutm_contentchatutm_campaignrewrite 。3. 宝塔面板安装与站点 HTTPS 配置3.1 安装宝塔并完成基础加固宝塔的安装脚本会随发行版和版本变化直接打开宝塔官方快速安装页选择 Ubuntu 对应的脚本再在 SSH 终端执行。安装结束时终端会输出面板访问地址、用户名和密码。先在浏览器打开它。若打不开先检查云安全组是否放行了面板端口宝塔面板的安全页面是否也放行了该端口。登录后不要急着装应用先完成四件事修改面板账号和强密码不使用云厂商初始密码在宝塔设置里修改面板入口或安全入口并把面板端口的访问限制为自己的固定公网 IP打开左侧「Docker」第一次进入会提示安装 Docker 服务点击安装并等待完成在「安全」里确认只放行 80、443 和确有需要的管理端口不要添加 3000。New API 的官方宝塔部署文档要求宝塔 9.2.0 以上并建议至少 1 核 2 GB 内存。3.2 创建站点并申请 HTTPS 证书到「网站」→「添加站点」域名填写liquidchain.cnPHP 版本保持纯静态或默认即可数据库不需要创建。站点根目录按宝塔默认生成即可因为这次站点只负责转发请求。创建完成后点击这个站点进入设置进入「SSL」标签。新申请时可选择 LiteSSL 或 Lets Encrypt选择liquidchain.cn并申请证书验证方式按页面要求选择文件验证或 DNS 验证。成功后开启自动续签和「强制 HTTPS」。申请前必须确保域名已正确解析HTTPS 不通时先检查 443 是否在安全组放行。现在用浏览器打开https://liquidchain.cn看到默认页面、404 或空白都不重要只要浏览器没有证书错误HTTPS 这层就通了。4. 用宝塔 Docker 部署 New API 容器4.1 生成会话密钥回到 SSH 终端执行openssl rand -hex 32复制输出的一整串随机字符先保存到密码管理器。它会作为SESSION_SECRET使用作用是保护登录会话。不要填字面量random_string也不要随便改动它否则现有登录会话会失效。4.2 在应用商店创建容器进入宝塔左侧「Docker」→「应用商店」搜索 New-API选择官方应用后点击安装。不同宝塔版本的字段排布会有小变化但填写内容不变。关键配置项如下配置项建议填写说明容器名称new-api便于后续找日志镜像calciumion/new-api:latest官方文档使用的镜像端口映射3000:3000宿主机 3000 转发到容器 3000目录映射/www/docker/new-api/data → /data最重要的数据持久化项环境变量TZAsia/Shanghai让日志使用中国时区环境变量SESSION_SECRET刚才生成的随机字符串不要使用示例值如果安装表单没有提供镜像、映射等细项直接使用应用的默认值后再确认三个事实容器镜像是calciumion/new-api:latest容器端口是 3000/data已有宿主机目录映射。这里不要配置 MySQL、Redis、SQL_DSN 或 CRYPTO_SECRET本文是单机 SQLite 方案New API 默认就使用 SQLite。提交并等待镜像下载完成然后到「Docker」→「容器」确认new-api状态为运行中。点击日志正常情况下不应该出现循环重启、数据库权限错误或 SESSION_SECRET 错误。4.3 配置域名反向代理回到「网站」→liquidchain.cn→「反向代理」新增一条代理。代理名称填new-api目标 URL 填http://127.0.0.1:3000发送域名保持默认或使用$host缓存关闭。保存后宝塔会让 Nginx 接收https://liquidchain.cn的请求并转发到同一台服务器的 New API。这一步有两个容易踩坑的地方。第一安全组和宝塔「安全」里都不要放行 3000Nginx 在服务器本机访问127.0.0.1:3000不需要把 3000 暴露给互联网。第二若宝塔应用商店只能生成3000:3000Docker 仍会监听宿主机所有网卡但防火墙未放行 3000 时外网依然无法访问。之后若你改用 Docker Compose可以把端口写成127.0.0.1:3000:3000从根源上限制为本机监听。最后在浏览器打开https://liquidchain.cn第一次访问会进入 New API 的初始化流程按页面提示创建管理员账号和强密码。4.4 更新与备份所有管理员、渠道和 Token 信息都在你映射的宿主机数据目录里而不是容器本身。更新前先在宝塔 Docker 的容器或编排备份功能中备份数据目录至少保留一份/www/docker/new-api/data的离线副本。更新时在 Docker 的镜像管理里拉取新镜像再重建或重启new-api容器。升级后先检查三件事能否登录、渠道测试是否通过、调用日志是否仍在。任何一步不对停止继续操作用备份恢复。5. 配置渠道、创建 Token 并验证请求5.1 新建一个 OpenAI 兼容渠道用刚创建的管理员账号登录 New API进入左侧「渠道」→「添加渠道」。这里以 TaoToken 统一 Key 通道为例。渠道类型选择 OpenAI 或与你上游文档匹配的 OpenAI 兼容类型渠道名称填taotoken-prodAPI Key 粘贴你从 TaoToken 控制台获取的 KeyBase URL 填https://taotoken.net/api可用模型填入你实际需要调用的模型名优先级与权重保持默认 0自动禁用个人单渠道先关闭避免一次短暂故障就把唯一渠道关掉。Base URL 必须以你的上游官方文档为准。不要把聊天接口完整路径例如/chat/completions误填到 Base URL 后面除非上游明确这样要求。模型名也必须和上游真正可用的名字一致。提交后回到渠道列表点击这个渠道右侧的「测试」。测试成功后状态应该是绿色。失败就先看失败信息不要急着新增第二个渠道掩盖问题。5.2 分组与 Token 配置如果只有你自己用保留默认分组即可。若准备给不同项目或同事使用先在管理端创建一个仅包含这个渠道的分组再给每个项目单独创建 Token。这样有一个 Token 泄露时只需撤销它不必更换上游总 Key。进入左侧「令牌」→「创建令牌」建议这样设置名称用blog-demo、my-app-prod这类能看懂用途的名字测试 Token 可设 7 天过期长期项目按轮换策略设置剩余额度能估算就设置上限个人试用不要无限制模型限制只允许本项目需要的模型IP 白名单在调用端 IP 固定时强烈建议填写分组选择前一步准备的分组或默认分组。提交后完整 Token 只会显示一次。立刻复制到密码管理器或部署平台的 Secret 管理中不能贴进 Git 仓库、截图、聊天记录或前端代码。5.3 用 curl 验证全链路现在在自己的电脑终端运行下面的命令将三个占位符替换掉curl https://liquidchain.cn/v1/chat/completions \ -H Authorization: Bearer NEW_API_TOKEN \ -H Content-Type: application/json \ -d { model: your-model-name, messages: [ {role: user, content: 请只回复部署验证成功} ] }如果终端返回一个包含choices的 JSON并且内容是模型回答整条链路就通了。然后回到 New API 的调用日志确认这一次请求有记录。到这儿你已经不只是看到一个登录页而是真的把一次请求送进了自己的中转站。6. 本篇常见错误排查6.1 域名访问不了或证书申请失败先用nslookup liquidchain.cn检查解析是否指向服务器公网 IP。再检查云安全组与宝塔安全页面是否都放行了 80 和 443。证书验证不是只看 DNS外网也必须能实际访问服务器。6.2 登录后很快掉线或提示会话无效进入 Docker 容器配置确认SESSION_SECRET存在且非空。不要把它填成random_string也不要在每次重建容器时换掉它。6.3 域名返回 502 Bad Gateway这通常不是证书问题而是反向代理找不到后端。到宝塔 Docker 容器列表确认new-api正在运行打开容器日志查看是否因为权限、数据库或环境变量失败而退出确认反向代理目标是http://127.0.0.1:3000不是https://127.0.0.1:3000确认容器端口映射包含容器端口 3000。6.4 调用返回认证失败、模型不存在或上游错误现象优先检查401 或认证失败使用的是 New API Token不是上游 Key且 Bearer 后面没有多余空格模型不存在或无可用渠道Token 的分组、模型限制与渠道可用模型是否一致渠道是否启用上游余额不足、权限不足、429到上游官方控制台检查账户余额、模型权限、速率限制和服务状态渠道测试失败Base URL、上游 Key、模型名是否逐字符合上游官方文档不要通过关闭 SSL 校验、无限重试或公开 3000 端口来「解决」问题。那不是修复只是把故障藏起来。7. 上线前检查与后续接入建议上线前把这份清单过一遍liquidchain.cn已解析到服务器公网 IP80 与 443 可从公网访问3000 未对公网开放宝塔面板账号、端口和安全入口已加固管理端口已限制来源 IPHTTPS 证书正常浏览器访问域名没有证书警告New API 容器处于运行状态/data已映射到宿主机目录SESSION_SECRET已保存到安全位置上游 API Key 只保存在 New API 渠道不出现在客户端与仓库每个客户端使用独立的 New API Token测试 Token 有过期时间或额度限制curl 调用成功New API 日志中能看到记录已完成一次数据目录备份并知道如何恢复。后续如果你要长期跑编码任务或 Agent 工作流可以了解 Coding Planhttps://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_contentcoding-planutm_campaignrewrite 。如果你更想先验证模型输出质量直接到模型对话页试https://taotoken.net/chat?utm_sourcetaotoken_aicg_blog_endutm_contentchatutm_campaignrewrite 。接入过程中遇到报错优先对照接入文档排查https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_contentdocutm_campaignrewrite 。需要新建或轮换 Key 时到 API Keys 页面操作https://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_contentapi-keysutm_campaignrewrite 。所有入口都从官网进https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 。到这里liquidchain.cn就不再只是一个域名了它是你的统一入口。以后增加另一个已授权上游、给一个新项目开独立 Token或者查看某次调用是否成功都不需要把总钥匙散落到每台电脑里。它只是把原本四散的配置收拢到一个你能看见、能备份、能撤销的地方。把入口守住把密钥藏好把日志留住这件事就已经完成了大半。