MCP-Tunnel

MCP-Tunnel ermöglichen es dir, Claude mit Model Context Protocol (MCP)-Servern zu verbinden, die innerhalb deines privaten Netzwerks laufen. Der Datenverkehr fließt über eine ausschließlich ausgehende Verbindung, sodass du keine eingehenden Firewall-Ports öffnen, Dienste dem öffentlichen Internet aussetzen oder Anthropics IP-Bereiche auf deinem Origin auf die Allowlist setzen musst.

Informationen zur Eignung für Zero Data Retention und HIPAA BAA findest du unter API und Datenaufbewahrung.



So funktioniert es

Der Tunnel-Stack besteht aus zwei Komponenten, die innerhalb deines Netzwerks laufen:

• cloudflared: Cloudflares Open-Source-Tunnel-Connector. Er initiiert ausschließlich ausgehende Verbindungen zum Tunnel-Edge und transportiert verschlüsselten Datenverkehr von Anthropic zu deinem Proxy.
• Proxy: Anthropics Routing-Komponente. Sie terminiert inneres TLS, validiert, dass Upstream-IPs in einen erlaubten Bereich fallen, und leitet jede Anfrage basierend auf dem Hostnamen an den richtigen Upstream-MCP-Server weiter.

Jeder MCP-Server, den du exponierst, erhält einen Hostnamen unter deiner Tunnel-Domain (zum Beispiel docs.<your-tunnel-domain>). Du verknüpfst diese Hostnamen mit einer Managed-Agent-Session in der Claude Console oder übergibst sie über den MCP-Connector an die Messages API.



Voraussetzungen

Stelle vor der Bereitstellung sicher, dass du Folgendes hast:

• Ein Deployment-Ziel: ein Kubernetes-Cluster oder eine VM mit Docker und Docker Compose.
• Einen Tunnel. Erstelle einen in der Claude Console (siehe Einen Tunnel erstellen) oder über die API; der Setup-Hook des Helm-Charts kann während der Installation ebenfalls einen für dich erstellen.
• Eine Möglichkeit für deinen Stack, sich bei der Tunnels API zu authentifizieren. Wähle eine:
  • Programmatischer Zugriff (empfohlen). Richte Workload Identity Federation ein, wenn du den Tunnel erstellst. Dein Stack erzeugt kurzlebige API-Token von deinem Identity Provider, ruft das Tunnel-Token ab und generiert und registriert automatisch ein CA-Zertifikat. Erfordert die Berechtigung zur Verwaltung von Federation-Regeln, einen registrierten OIDC-Issuer und eine Federation-Regel mit dem Scope workspace:manage_tunnels.
  • Manuell. Stelle statische Anmeldedaten selbst bereit: das Tunnel-Token aus der Console und ein Serverzertifikat, das von einer dort registrierten CA signiert wurde. Siehe Verbindungsdetails abrufen und Ein CA-Zertifikat hinzufügen.
• Einen oder mehrere MCP-Server, die in deinem privaten Netzwerk laufen. Beispiele findest du unter Remote-MCP-Server.
• Ausgehende Konnektivität wie unter Netzwerkanforderungen aufgeführt.



Netzwerkanforderungen



Sicherheitsmodell



Sicherheitsebenen

Drei unabhängige Ebenen schützen jede Anfrage:

Der Tunnel-Transport läuft über Cloudflares Netzwerk. Da der Proxy inneres TLS mit einem Zertifikat terminiert, das nur du besitzt, kann Cloudflare Anfrage- oder Antwort-Payloads nicht lesen. Anthropic verbindet sich erst mit einem Tunnel, wenn ein CA-Zertifikat registriert ist, sodass Payloads immer verschlüsselt sind, wenn sie Cloudflares Netzwerk durchqueren. Cloudflare erhält jedoch Verbindungsmetadaten; siehe Was der Transportanbieter beobachten kann.



Modell der geteilten Verantwortung



Was der Transportanbieter beobachten kann

Cloudflare stellt den ausgehenden Transport bereit. Es kann MCP-Anfrage- oder Antwort-Payloads nicht lesen, erhält aber die folgenden Verbindungsmetadaten:

• die Egress-IP-Adresse des Hosts, auf dem cloudflared läuft
• einen cloudflared-Host-Fingerprint
• Verbindungszeiten und Byte-Volumen
• die deinem Tunnel zugewiesene *.tunnel.anthropic.com-Subdomain

Anthropics Vereinbarung mit Cloudflare beschränkt Cloudflares Nutzung dieser Telemetrie. Cloudflare agiert für diese Research Preview als Unterauftragsverarbeiter.



Einen Tunnel bereitstellen

Wenn du neu bei MCP-Tunneln bist, beginne mit dem Quickstart, um lokal einen funktionierenden Tunnel zu erhalten, bevor du ein Produktions-Deployment konfigurierst.

Auswahlhilfe:

• Deployment-Ziel
  • Helm beim Deployment auf Kubernetes.
  • Docker Compose für einen einzelnen Host oder lokales Testen.
• Authentifizierung für das Setup
  • Programmatischer Zugriff (über Workload Identity Federation), wenn du einen OIDC-Identity-Provider hast, etwa einen Kubernetes-Cluster, Cloud-IAM oder SPIFFE.
  • Manuelle Anmeldedaten, wenn nicht, oder wenn du testest.



Die getunnelten MCP-Server verwenden

Sobald dein Tunnel aktiv ist (er hat ein aktives CA-Zertifikat und dein Tunnel-Stack ist verbunden), sind die Upstream-MCP-Server von Claude Managed Agents und der Messages API aus erreichbar.

In beiden Fällen transportiert der Tunnel verschlüsselten Datenverkehr zu deinem MCP-Server, authentifiziert sich aber nicht bei ihm. Wenn der Upstream-MCP-Server eine eigene Authentifizierung erfordert (OAuth, Bearer-Token), stelle sie auf die gleiche Weise bereit wie bei jedem anderen MCP-Server; sie ist unabhängig vom Tunnel.



Managed Agents (Console)

1. Erstelle unter Managed Agents > Sessions eine Session und wähle Create new agent, damit du die MCP-Server-Liste bearbeiten kannst.
2. Klicke auf + MCP Server und öffne das Dropdown. Tunnel im Workspace der Session, die mindestens ein aktives Zertifikat haben, erscheinen oben in der Liste, über dem öffentlichen Connector-Katalog.
3. Wähle den Tunnel aus und gib die Subdomain an, die dein Proxy zu einem bestimmten MCP-Server routet, sowie den Path, den der Upstream-MCP-Server erwartet. Die Zeile Resolves to zeigt die genaue URL.



Messages API

Übergib die URL des Upstream-MCP-Servers im mcp_servers-Array, genauso wie bei jedem anderen Remote-MCP-Server. Der Request-Body und der anthropic-beta-Header folgen dem Standardformat des MCP-Connectors; nur die url ist tunnelspezifisch. Das folgende Beispiel verwendet den mcp-client-Beta-Header des MCP-Connectors, der vom mcp-tunnels-Beta getrennt ist, das von der Tunnels API verwendet wird. Verwende einen API-Key für den Workspace, in dem der Tunnel erstellt wurde (Console Settings > API keys).

Der Host der URL ist <subdomain>.<your-tunnel-domain>. Der Pfad hängt von deinem Upstream-MCP-Server ab, nicht vom Tunnel: FastMCPs streamable-http-Transport wird unter /mcp bereitgestellt, andere Server verwenden möglicherweise / oder einen benutzerdefinierten Pfad (prüfe die Dokumentation des Servers). Der Proxy leitet den Pfad unverändert weiter.

client = anthropic.Anthropic()

response = client.beta.messages.create(
    model="claude-opus-5",
    max_tokens=1000,
    messages=[{"role": "user", "content": "Use the hello tool to greet tunnel."}],
    mcp_servers=[
        {
            "type": "url",
            "url": "https://echo.YOUR_TUNNEL_DOMAIN_HERE/mcp",
            "name": "echo",
        }
    ],
    tools=[{"type": "mcp_toolset", "mcp_server_name": "echo"}],
    betas=["mcp-client-2025-11-20"],
)

print(response)

Informationen zur Authentifizierung beim Upstream-MCP-Server (authorization_token) und zu weiteren mcp_servers-Optionen findest du unter MCP-Connector.



Nächste Schritte