Synology NAS jako soukromý AI server: Ollama a lokální LLM doma

Přemýšlel jsi někdy, kolik osobních informací posíláš každý den do ChatGPT nebo Claude? Dotazy na pracovní dokumenty, citlivé e-maily, nápady, které nechceš sdílet s nikým cizím — natož s americkou korporací. Já jsem přemýšlel. A pak jsem místo přemýšlení jednal. Na polici mi totiž stojí Synology NAS a na něm teď běží vlastní jazykový model, který nikam nic neposílá. V tomto článku ti ukážu přesně jak na to.

Proč NAS a ne jen notebook?

Základní otázka zní: proč provozovat Ollamu na NASu, když ji mohu spustit na počítači? Odpověď jsou tři věci — dostupnost, spotřeba a soukromí.

NAS běží 24/7 a spotřebuje přitom zlomek energie oproti desktopům. Je dostupný z každého zařízení v síti. Jakmile jednou stáhneš model z internetu na disk, nikdy víc neopustí tvoji domácnost. Žádný prompt, žádná odpověď, žádná metadata. Jak pěkně shrnuje Need to Know IT: „All inference runs on your hardware and nothing leaves your network." To je hlavní argument proti cloudovým službám pro každého, kdo pracuje s citlivými daty.

Teď k hardwaru — tady je potřeba být upřímný. Synology NAS není výpočetní monstrum. Consumer modely nemají PCIe slot pro GPU, takže inference běží čistě na CPU. Nejschopnější model pro tuhle práci je DS923+ s AMD Ryzen R1600, který dosahuje přibližně 4–7 tokenů za sekundu u 3B modelů. Není to rychlost, na kterou jsi zvyklý z cloudu, ale pro klidnou práci s dokumenty nebo domácího asistenta to bohatě stačí. Pokud potřebuješ plynulejší konverzaci, Need to Know IT doporučuje zvážit QNAP s PCIe GPU — ale to je jiný příběh.

Zásadní technická podmínka: Ollama publikuje Docker image pouze pro architektury x86_64 (amd64) a arm64. ARM čipy Realtek RTD1296 a RTD1619B v levnějších Synology modelech nebudou fungovat — chybí jim potřebné SIMD instrukce. Drž se Plus-series nebo Value-series s Intelem nebo AMD.

Deployment krok za krokem

Celý proces je překvapivě přímočarý. Synology DSM 7.2 přichází s Container Managerem (přejmenovaný Docker balíček), takže žádné ruční instalace Dockeru nejsou potřeba.

1. Připrav složku pro modely

Přes File Station vytvoř /volume1/docker/ollama. Sem se budou ukládat stažené modely — počítej s tím, že 7B model zabere přibližně 4–5 GB, takže plánuj místo s rezervou.

2. Spusť Ollama kontejner přes SSH

Připoj se přes SSH a spusť:

docker run -d \
  --name ollama \
  --restart always \
  -p 11434:11434 \
  -v /volume1/docker/ollama:/root/.ollama \
  -e OLLAMA_HOST=0.0.0.0 \
  -e OLLAMA_KEEP_ALIVE=30m \
  -e OLLAMA_NUM_PARALLEL=2 \
  --memory="12g" \
  --memory-swap="12g" \
  ollama/ollama:latest

Příznak --restart always zajistí, že kontejner naběhne automaticky po restartu NASu. OLLAMA_KEEP_ALIVE=30m drží model v paměti 30 minut po posledním dotazu — kompromis mezi rychlostí odezvy a spotřebou RAM. Detailní vysvětlení všech příznaků najdeš u Local AI Master.

3. Stáhni model

docker exec ollama ollama pull phi3:mini

phi3:mini od Microsoftu je skvělý startovací model — slušný výkon, malá velikost. Pro náročnější úkoly zkus llama4 nebo mistral. Po prvním stažení jsou váhy uloženy lokálně a nikdy se znovu nestahují.

4. Přidej Open WebUI

Samotná Ollama je API bez rozhraní. Pro pohodlné chatování přidej Open WebUI jako druhý kontejner. Obsahuje uživatelskou autentizaci, historii konverzací a funguje offline. Z jakéhokoli zařízení v síti pak stačí otevřít prohlížeč.

5. Otestuj z jiného zařízení

curl http://192.168.1.x:11434/api/chat \
  -d '{"model": "phi3:mini", "messages": [{"role": "user", "content": "Ahoj!"}]}'

Funguje? Gratuluji — máš soukromé AI dostupné z celé domácí sítě.

Bezpečnost: tohle nepodcenit

Tady je místo, kde spousta lidí dělá chybu. Ollama API na portu 11434 nemá žádnou vestavěnou autentizaci. Nikdy tento port nevystavuj přímo na internet. Pokud potřebuješ přístup z venku, jsou dvě rozumné cesty:

Synology VPN Server (OpenVPN nebo WireGuard) — připojíš se do domácí sítě jako bys byl fyzicky doma, a pak přistupuješ na Ollamu přes lokální IP. Čistě, bezpečně, bez kompromisů. Need to Know IT tuto variantu explicitně doporučuje jako primární.

Tailscale — ještě elegantnější řešení pro ty, kdo nechtějí spravovat vlastní VPN server. Tailscale vytvoří šifrovaný mesh tunel mezi tvými zařízeními, NAS dostane stabilní Tailscale IP a ty se k Ollamě dostaneš odkudkoli bez port forwardingu. Podrobný návod pro Synology + Tailscale stojí za přečtení.

Open WebUI je bezpečnější vystavit přímo, protože má vlastní login systém — ale i tak je VPN nebo Tailscale čistší architektura.

Ještě jedna věc: pokud na NASu běží zároveň Immich pro správu fotek (s machine learningem), sleduj paměť. Na 8 GB RAM Immich + Ollama se 3B modelem koexistují, ale těsně. S 16 GB RAM si klidně pusť i 7B model. Jak radí Need to Know IT, při 8 GB plánuj ML zpracování Immichu mimo špičky, kdy Ollama odpočívá.

Kde to celé vede?

Lokální LLM pro domácí nasazení jsou dnes reálnou alternativou ke cloudu — ne jen hračkou pro nadšence. Ano, CPU inference na Synology je pomalejší než GPT-4. Ale pro denní práci s dokumenty, soukromé brainstormy nebo domácího asistenta integrovaného přes OpenAI-kompatibilní API do dalších nástrojů to funguje spolehlivě.

Já to mám rozjeté, a upřímně — vím, že moje dotazy zůstávají doma. To má hodnotu, která se špatně měří v tokenech za sekundu.

Zkusíš to? Nebo máš jiné řešení pro soukromé AI doma? Napiš mi do komentářů — zajímá mě, jak to řešíte ostatní.