Claude Platform Docs
MessagesMCP-Tunnel

Sicherheit von MCP-Tunneln

Hinweise zur Härtung, Rotation von Zugangsdaten, Reaktion auf Sicherheitsvorfälle und Stilllegung von MCP-Tunnel-Deployments.

Die Tunnel-Architektur bietet starke Standardeinstellungen (ausschließlich ausgehende Konnektivität, Ende-zu-Ende-Verschlüsselung und IP-Validierung), aber die Gesamtsicherheit deines Tunnel-Stacks hängt auch davon ab, wie du ihn konfigurierst und betreibst. Diese Seite behandelt empfohlene Härtungsmaßnahmen, die Reaktion auf Sicherheitsvorfälle und die Außerbetriebnahme eines Tunnels.

Best Practices

  • Erfordere OAuth auf jedem MCP-Server. Konfiguriere jeden Upstream-MCP-Server so, dass er OAuth erfordert, wie in der MCP-Autorisierungsspezifikation beschrieben. OAuth bietet „defense in depth“ (gestaffelte Verteidigung) zusätzlich zur Transport-Authentifizierung des Tunnels und ermöglicht eine Autorisierung auf Benutzerebene in der Datenschicht.
  • Aktiviere SSO für deine Organisation. Tunnel, Föderationsregeln und Service-Accounts werden in der Claude Console verwaltet. SSO setzt die Sitzungskontrollen deines Identity-Providers für die Admins durch, die diese ändern können.
  • Schränke upstream.allowed_ips ein. Verwende die kleinsten CIDR-Bereiche, die deine MCP-Server abdecken. Dies ist die primäre SSRF-Abwehr des Proxys.
  • Überwache Logs. Richte Alarme für Warnungen, Fehler und ungewöhnliche Traffic-Muster des Tunnel-Stacks ein.
  • Rotiere Zugangsdaten. Rotiere das Server-Zertifikat und das Tunnel-Token nach einem regelmäßigen Zeitplan und sofort, wenn du eine Kompromittierung vermutest.
  • Halte Images aktuell. Verfolge neue Proxy-Releases und pinne Images per SHA-256-Digest.
  • Begrenze die Netzwerkreichweite. Der Proxy und cloudflared sollten nur die in den Netzwerkanforderungen aufgeführten Ziele erreichen können. Verwende NetworkPolicy (Kubernetes) oder Host-Firewall-Regeln (Compose).
  • Begrenze den Umfang der MCP-Server. Jeder Server sollte nur die Tools und Daten bereitstellen, die für seinen Zweck erforderlich sind.
  • Schütze ruhende Zugangsdaten. Wende die Secrets-Management-Praktiken deiner Organisation auf private Schlüssel und Tunnel-Tokens an.

Auf einen vermuteten Sicherheitsvorfall reagieren

Wenn du glaubst, dass dein Tunnel-Token, deine TLS-Schlüssel oder dein Proxy-Host kompromittiert wurden:

  1. Stoppe den Tunnel-Stack

    helm uninstall mcp-tunnel -n mcp-tunnel

  2. Trenne die Upstream-MCP-Server

    Entferne die Upstream-MCP-Server aus allen Managed-Agent-Sitzungen, die sie verwenden, und übergib ihre URLs nicht mehr im mcp_servers-Block von Messages-API-Anfragen.

  3. Archiviere den Tunnel

    Das Archivieren macht das Tunnel-Token ungültig und trennt die Domain. Archiviere den Tunnel in der Console über die Liste MCP tunnels. Um stattdessen über die API zu archivieren, siehe Einen Tunnel archivieren.

  4. Kontaktiere Anthropic

    Melde die vermutete Kompromittierung dem Anthropic-Support.

  5. Rotiere nachgelagerte Zugangsdaten

    Stelle einen neuen Tunnel bereit und rotiere alle OAuth-Tokens, die von den betroffenen MCP-Servern ausgestellt wurden.

  6. Prüfe die Logs, bevor du den Dienst wiederherstellst

    Untersuche die Logs von Proxy, cloudflared und MCP-Servern für den Zeitraum der vermuteten Kompromittierung, bevor du den neuen Tunnel in Betrieb nimmst.

Einen Tunnel stilllegen

Befolge diese Schritte, um einen Tunnel außer Betrieb zu nehmen und alle gespeicherten Zugangsdaten zu entfernen.

  1. Stoppe den Tunnel-Stack

    helm uninstall mcp-tunnel -n mcp-tunnel

  2. Archiviere den Tunnel

    Archiviere den Tunnel in der Console über die Liste MCP tunnels.

  3. Entferne gespeicherte Zugangsdaten

    Mit programmatischem Zugriff hat die Setup-Komponente ein einzelnes Secret erstellt, das nach dem Release benannt ist. Ohne programmatischen Zugriff hast du mcp-tunnel-token und mcp-tunnel-cert selbst erstellt. Lösche, was jeweils zutrifft:

    kubectl -n mcp-tunnel delete secret \
  mcp-tunnel mcp-tunnel-token mcp-tunnel-cert \
  --ignore-not-found

Was this page helpful?