Dify项目内网环境下tiktoken连接问题的解决方案

问题背景

在使用Dify项目的LLM助手工具或工作流时，特别是在内网环境中，用户可能会遇到一个典型的技术问题：当对话正常开始后，在会话结束时系统会尝试连接外部网络资源，导致连接失败。具体表现为系统尝试连接openaipublic.blob.core.windows.net的443端口失败，出现名称解析错误。

问题分析

这个问题的根源在于Dify项目中使用的tiktoken库（用于文本分词处理）默认会尝试从OpenAI的公共存储服务下载必要的词汇表文件。在内网环境下，当外部网络访问被限制时，这种默认行为就会导致连接失败。

tiktoken库需要两个关键文件来正常工作：

1. vocab.bpe - 字节对编码词汇表文件
2. encoder.json - 编码器映射文件

解决方案

方法一：创建本地缓存

最有效的解决方案是在本地创建这些文件的缓存，从而避免系统尝试从外部网络获取这些资源。

具体实施步骤：

1. 创建本地缓存目录结构：

mkdir tiktoken
cd tiktoken

2. 下载并重命名必要的文件：

wget https://openaipublic.blob.core.windows.net/gpt-2/encodings/main/vocab.bpe
cp vocab.bpe 6d1cbeee0f20b3d9449abfede4726ed8212e3aee

wget https://openaipublic.blob.core.windows.net/gpt-2/encodings/main/encoder.json
cp encoder.json 6c7ea1a7e38e3a7f062df639a5b80947f075ffe6

注意：文件名的哈希值是根据tiktoken库的预期命名规则生成的，必须保持准确。

方法二：配置Docker环境

对于使用Docker部署的Dify项目，可以通过配置环境变量和卷映射来使用本地缓存：

1. 修改Docker Compose文件，添加环境变量：

environment:
  TIKTOKEN_CACHE_DIR: /app/api/.tiktoken/

2. 添加卷映射，将本地缓存目录挂载到容器中：

volumes:
  - ./volumes/plugin_daemon:/app/storage
  - ./tiktoken:/app/api/.tiktoken

方法三：修改库文件路径

对于特定模型插件（如Ollama或Xinference），可能需要直接修改相关Python库文件中的路径设置：

1. 定位到相关库文件：

• Ollama: /App/storage/cwd/langgenius/ollama....../.venv/lib/site-packages/tiktoken_ext/openai_public.py
• Xinference: /App/storage/cwd/langgenius/xinference....../.venv/lib/site-packages/tiktoken_ext/openai_public.py

2. 修改这些文件中的资源路径，指向本地缓存位置。

实施建议

1. 网络环境考虑：在实施前，确保执行下载操作的机器能够临时访问外部网络以下载所需文件。

2. 文件完整性验证：下载完成后，建议验证文件的MD5或SHA哈希值，确保文件完整无误。

3. 权限设置：确保Docker容器对挂载的本地缓存目录有足够的读写权限。

4. 版本兼容性：注意不同版本的tiktoken库可能需要不同版本或不同命名的资源文件。

总结

通过创建本地tiktoken缓存，可以有效解决Dify项目在内网环境下的外部连接问题。这种方法不仅解决了当前的连接错误，还提高了系统的稳定性和可靠性，特别是在网络受限的环境中。实施时需要注意文件命名、路径配置和权限设置等细节，确保解决方案能够正确生效。

对于企业级部署，建议将这一解决方案纳入标准部署流程，确保所有内网环境下的Dify实例都能稳定运行。同时，这也为其他类似依赖外部网络资源的应用提供了可借鉴的解决思路。