MessagesMCP-Tunnel

Tunnel in der Console verwalten

Copy page



Erstelle Tunnel, registriere CA-Zertifikate, rufe das Tunnel-Token ab und hänge getunnelte MCP-Server über die Claude Console an Agenten an.

Diese Seite behandelt die Console-Seite eines MCP-Tunnel-Deployments: das Erstellen eines Tunnels, das Registrieren deines CA-Zertifikats, das Abrufen des Tunnel-Tokens und das Anhängen der Upstream-MCP-Server an einen Agenten. MCP-Tunnel mit Helm bereitstellen und MCP-Tunnel mit Docker Compose bereitstellen behandeln den Betrieb des Tunnel-Stacks innerhalb deines Netzwerks.

Voraussetzungen

• Ein oder mehrere MCP-Server, die in deinem privaten Netzwerk laufen. Der Tunnel leitet Traffic zu ihnen weiter; er hostet sie nicht. Siehe Remote-MCP-Server für Beispiele, die du bereitstellen kannst.
• Eine Console-Rolle mit der Berechtigung „Manage tunnels“ (Tunnel verwalten), damit du Tunnel erstellen und archivieren, das Token rotieren und Zertifikate verwalten kannst. Organisations-Admins und -Owner haben sie standardmäßig; benutzerdefinierte Rollen und kontobezogene Berechtigungen können sie ebenfalls enthalten. Rollen ohne diese Berechtigung haben nur Lesezugriff auf die Seite MCP tunnels und die Tunnel-Details.
• Eine Möglichkeit für deinen Stack, sich bei der Tunnels API zu authentifizieren. Wähle eine:
  • Programmatischer Zugriff (empfohlen). Richte während der Tunnel-Erstellung Workload Identity Federation ein, damit dein Stack kurzlebige API-Token von deinem Identity Provider ausstellt, das Tunnel-Token abruft und automatisch ein CA-Zertifikat generiert und registriert. Erfordert die Berechtigung zum Verwalten von Federation-Regeln, einen registrierten OIDC-Issuer und eine Federation-Regel mit dem Scope workspace:manage_tunnels.
  • Manuell. Überspringe den programmatischen Zugriff. Nach dem Erstellen des Tunnels rufst du das Tunnel-Token ab, generierst und registrierst selbst ein CA-Zertifikat und stellst das Token und dein Server-Zertifikat deinem Tunnel-Stack als Secrets bereit.

Einen Tunnel erstellen

1. 1

   Die Seite MCP tunnels öffnen

   Gehe in der Console-Seitenleiste zu Manage > MCP tunnels. Tunnel sind Workspace-bezogen; der neue Tunnel gehört zu dem Workspace, der aktuell in der Console ausgewählt ist. Wechsle also zuerst den Workspace, wenn du ihn woanders haben möchtest.

2. 2

   Den Tunnel benennen

   Klicke auf New tunnel und gib im Dialog Create tunnel einen Namen ein. Der Name ist erforderlich und identifiziert den Tunnel in der Liste, auf der Detailseite und in der MCP-Server-Auswahl des Agenten. Eine Domain der Form abcd1234.tunnel.anthropic.com wird automatisch zugewiesen.

3. 3

   Optional programmatischen Zugriff einrichten

   Wenn deine Rolle Federation-Regeln verwalten kann, erscheint ein Schalter Set up programmatic access (standardmäßig aus). Wenn nicht, zeigt die Console an dessen Stelle einen Hinweis an, und dein Tunnel-Stack verwendet stattdessen den manuellen Ablauf. Der Rest des Erstellungsablaufs ist in beiden Fällen gleich.

   Programmatischer Zugriff basiert auf Workload Identity Federation; lies zuerst diese Seite, wenn dir Federation-Issuer, -Regeln und Service-Accounts nicht vertraut sind. Um den Schalter zu aktivieren, benötigst du:

   1. Einen registrierten OIDC-Issuer für den Identity Provider, von dem dein Stack Token vorlegt (etwa ein Kubernetes-Cluster, AWS IAM, Google Cloud oder GitHub Actions). Registriere einen unter Settings > Workload identity > Issuers, falls deine Organisation noch keinen hat.
   2. Eine Federation-Regel mit dem Scope workspace:manage_tunnels. Das Aktivieren des Schalters blendet eine Auswahl Federation rule ein. Wähle eine bestehende Regel mit diesem Scope oder klicke auf Create federation rule, um inline eine zu erstellen.
   3. Den Service-Account der Regel, hinzugefügt zu diesem Workspace. Die Tunnels API autorisiert anhand der Workspace-Mitgliedschaften des Service-Accounts. Wenn du den Tunnel in einem anderen Workspace als dem Standard-Workspace der Organisation erstellst, füge den Service-Account unter Settings > Workspaces hinzu und übergib die Workspace-ID beim Deployment (api.wif.workspaceId für Helm, ANTHROPIC_WORKSPACE_ID für Compose).

   Das Überspringen dieses Schritts wird vollständig unterstützt; beide Deployment-Leitfäden haben einen Tab Without programmatic access (Ohne programmatischen Zugriff).

4. 4

   Den Tunnel erstellen

   Klicke auf Create tunnel. Die Console stellt den Tunnel bereit und öffnet die Detailseite.

5. 5

   Die Deployment-Kennungen notieren

   Beide Deployment-Wege benötigen:

   • Die Tunnel-ID (tnl_...), angezeigt auf der Tunnel-Detailseite.
   • Die Tunnel-Domain (abcd1234.tunnel.anthropic.com), angezeigt auf der Tunnel-Detailseite. Wird als tunnel_domain des Proxys und im SAN des Server-Zertifikats verwendet.

   Was du sonst noch benötigst, hängt vom Modus der Credential-Bereitstellung ab:

   Mit programmatischem Zugriff	Ohne programmatischen Zugriff
   Die Federation-Regel-ID (fdrl_...) der von dir ausgewählten Regel. Die Regel gilt auf Organisationsebene und wird nicht am Tunnel gespeichert; du findest sie unter Settings > Workload identity > Rules.	Das Tunnel-Token, das du mit dem Augen-Symbol neben Token auf der Detailseite einblendest. Behandle es als Secret. Siehe Die Verbindungsdetails abrufen.
   Die Organisations-ID (eine UUID), angezeigt unter Settings > Organization.	Ein CA-Zertifikat, das du generierst und am Tunnel registrierst.

   Mit programmatischem Zugriff ruft dein Stack das Tunnel-Token über die Tunnels API ab, generiert die CA und das Server-Zertifikat lokal (der private Schlüssel verlässt deine Umgebung nie) und registriert nur das öffentliche Zertifikat der CA bei Anthropic. Du bist weiterhin dafür verantwortlich, die privaten Schlüssel zu sichern und das Server-Zertifikat zu erneuern, bevor es abläuft.

Deine Organisation kann bis zu 10 aktive Tunnel haben. Das Erstellen eines Tunnels stellt keine Konnektivität her; das geschieht erst, wenn sich dein Stack mit dem Tunnel-Token einwählt und ein CA-Zertifikat registriert ist.

Die Verbindungsdetails abrufen

Öffne den Tunnel. Die Detailseite zeigt einen Abschnitt Connection mit der Domain und dem Token sowie einen Abschnitt Certificates.

Ein CA-Zertifikat hinzufügen

Anthropic verifiziert das innere TLS zu deinem Proxy anhand der CA-Zertifikate, die du am Tunnel registrierst. Ein Tunnel ohne aktive Zertifikate kann keine Verbindungen annehmen und erscheint nicht in der MCP-Server-Auswahl des Agenten, bis eines registriert ist.

1. 1

   Den Abschnitt Certificates finden

   Scrolle auf der Detailseite des Tunnels zum Abschnitt Certificates und klicke auf Add certificate.

2. 2

   Das Zertifikat bereitstellen

   Klicke auf Choose file, um eine .pem-, .crt- oder .cer-Datei auszuwählen, ziehe die Datei auf das Textfeld oder füge den PEM-Block direkt ein. Das Modal lehnt Private-Key-Material und Inhalte ab, die kein -----BEGIN CERTIFICATE------Block sind. Die Datei darf höchstens 8 kB groß sein.

3. 3

   Das Zertifikat hinzufügen

   Klicke auf Add certificate. Der Fingerprint und das Ablaufdatum erscheinen in der Zertifikatsliste, und der Slot-Zähler in der Abschnittsüberschrift erhöht sich.

Ein Tunnel hält bis zu zwei aktive Zertifikate, damit du ohne Ausfallzeit rotieren kannst: Registriere das neue Zertifikat neben dem alten, deploye deinen Proxy mit dem neuen Schlüsselpaar neu, bestätige, dass Traffic fließt, und klicke dann in der Zeile des alten Zertifikats auf Revoke. Widerrufene Zertifikate bleiben in der Liste mit einem Badge Revoked sichtbar.

Den Tunnel-Stack bereitstellen

Der Tunnel existiert in der Console, aber es fließt kein Traffic, bis der Tunnel-Stack innerhalb deines Netzwerks läuft und sich mit dem Tunnel-Token eingewählt hat. Folge einem der Deployment-Leitfäden:

Den Tunnel in einem Agenten verwenden

Sobald dein Stack läuft und einen oder mehrere MCP-Server konfiguriert hat, hänge einen Upstream-MCP-Server an eine Managed-Agent-Session an. Um dieselben Server stattdessen über die Messages API aufzurufen, siehe Die getunnelten MCP-Server verwenden.

1. 1

   Das Modal New session öffnen

   Gehe zu Managed Agents > Sessions und klicke auf New session.

2. 2

   Einen Inline-Agenten definieren

   Wähle in der Agenten-Auswahl Create new agent, damit du die MCP-Server-Liste direkt bearbeiten kannst.

3. 3

   Den MCP-Server hinzufügen

   Klicke auf + MCP Server und öffne das Dropdown. Im aktuellen Workspace erstellte Tunnel erscheinen oben in der Liste, über dem öffentlichen Connector-Katalog. Wähle den Tunnel aus, der dem Server vorgeschaltet ist, den du erreichen möchtest.

4. 4

   Das Routing angeben

   Die Karte zeigt zwei optionale Felder: Subdomain (der Tunnel-Domain vorangestellt) und Path (dahinter angehängt). Fülle eines oder beide aus, je nachdem, wie die Routen deines Proxys konfiguriert sind. Die Zeile Resolves to zeigt die vollständige MCP-Server-URL, mit der sich der Agent verbindet.

Einen Tunnel archivieren

Das Archivieren stoppt sofort die Annahme von Verbindungen durch den Tunnel und ist dauerhaft.

Öffne in der Liste MCP tunnels das Zeilenmenü des Tunnels und wähle Archive. Archivierte Tunnel bleiben sichtbar, wenn du die Liste nach Archived oder All filterst.

Nächste Schritte