纯内网环境的现实挑战
在严苛的安全合规要求下，开发机完全禁止访问外部公网，任何使用 npm install 或连接外部 API 的行为均会被物理防火墙阻断。
离线化落地方案
- 依赖镜像预打包（Bake into Base Images）：将官方 MCP SDK、Python
mcp依赖包及常用工具预热安装至企业内部私有 Docker 镜像仓库中； - 内网代码与模型基础设施：通过本地部署的 GitLab + 自建 Harbor + 本地 vLLM 集群提供算力支撑；
- 不可抵赖的审计追踪（Immutable Audit Logs）：所有终端发起的工具调用参数与返回结果，以 JSON Lines 格式异步加密写入企业只写（WORM）归档系统，满足等保与金融合规审查。
离线交付链路：从公网到内网
内网侧无法拉包，一切依赖必须经"外网构建、介质摆渡、内网入库"三段链路进入。常用做法是：在隔离网关注入机或互联网侧构建区把镜像批量导出（docker save 打包为 tar 归档），连同私有 npm/PyPI 缓存目录一起经审批介质摆渡；内网侧 docker load 后推入 Harbor，包管理器侧则把离线缓存导入 Verdaccio 或 Nexus 之类的私有 registry，供 npm install 走内网源解析。版本策略要固定：基础镜像、SDK 与客户端配置全部锁定精确版本号，杜绝内网环境隐式升级。
组件选型取舍
| 环节 | 内网常见选择 | 注意事项 |
|---|---|---|
| 模型推理 | vLLM、Ollama 等本地服务 | 先验证目标模型的工具调用格式再定硬件 |
| 包与镜像仓库 | Harbor + Nexus/Verdaccio | 预留代理缓存的回源替代导入流程 |
| 代码托管与流水线 | GitLab 自建 Runner | Runner 镜像同样需要离线入库 |
| 审计归档 | WORM 存储或对象锁 | 密钥轮换与加密托管要独立于业务库 |
验证方法：先证伪"能联网"
上线前的关键测试是反向的：主动探测出口，确认没有任何一条路径能绕过防火墙访问公网（包括 npm 的 --proxy 参数、Docker 构建时的 RUN curl、MCP Server 里第三方库的隐式更新检查），发现的每个逃逸口都要在网关侧封堵并记录。功能侧则用最小链路验收：一台干净开发机上完成"安装客户端、连内网模型、调用一个文件类 MCP 工具、审计日志落库"四步，全部离线通过才算达标。日志抽查建议按周进行，核对工具调用参数中是否混入未脱敏敏感字段，相关策略见数据安全与隐私合规：在企业内部推行 MCP 时的敏感信息（PII / Secret）脱敏实践。
常见故障速查
| 现象 | 原因 | 处理 |
|---|---|---|
| MCP Server 启动时卡住数分钟 | 依赖库尝试联网检查更新被防火墙慢阻断 | 关闭遥测与自动更新环境变量 |
| 构建机拉不到基础镜像 | 内网无 Docker Hub 直通 | 统一改用 Harbor 代理路径并写入模板 |
| 审计日志出现明文密钥 | 工具参数未过脱敏管道 | 在网关侧启用出站扫描后再放行 |
| 模型工具调用格式错乱 | 本地部署模型的对话模板与客户端不匹配 | 锁定经过验证的模型与推理框架组合 |
小结
合规部署是否到位，用两个可执行判据衡量：第一，从内网任意开发机发起的对外连接探测必须全部失败，漏一条即为未达标；第二，任取一次历史工具调用，审计系统里应能还原完整的参数、结果与操作者，缺字段的日志等于没写。功能可用性可以分模块逐步验收，但网络隔离与审计这两条必须一次性全量满足。