MCP 터널 보안

터널 아키텍처는 강력한 기본값(아웃바운드 전용 연결, 종단 간 암호화, IP 검증)을 제공하지만, 터널 스택의 전반적인 보안은 이를 구성하고 운영하는 방식에 따라서도 달라집니다. 이 페이지에서는 권장되는 강화 방법, 침해 대응, 그리고 터널을 해제하는 방법을 다룹니다.



모범 사례

• 모든 MCP 서버에서 OAuth를 요구하세요. 각 업스트림 MCP 서버가 MCP 인증 사양에 설명된 대로 OAuth를 요구하도록 구성하세요. OAuth는 터널의 전송 인증 위에 심층 방어를 제공하며 데이터 계층에서 사용자 수준의 권한 부여를 가능하게 합니다.
• 조직에 SSO를 활성화하세요. 터널, 페더레이션 규칙, 서비스 계정은 Claude Console에서 관리됩니다. SSO는 이를 변경할 수 있는 관리자에게 ID 공급자의 세션 제어를 적용합니다.
• upstream.allowed_ips를 제한하세요. MCP 서버를 포함하는 가장 작은 CIDR 범위를 사용하세요. 이는 프록시의 주요 SSRF 방어 수단입니다.
• 로그를 모니터링하세요. 터널 스택에서 발생하는 경고, 오류, 비정상적인 트래픽 패턴에 대해 알림을 설정하세요.
• 자격 증명을 교체하세요. 서버 인증서와 터널 토큰을 정기적으로 교체하고, 침해가 의심되는 경우 즉시 교체하세요.
• 이미지를 최신 상태로 유지하세요. 새로운 프록시 릴리스를 추적하고 SHA-256 다이제스트로 이미지를 고정하세요.
• 네트워크 도달 범위를 제한하세요. 프록시와 cloudflared는 네트워크 요구 사항에 나열된 대상에만 도달할 수 있어야 합니다. NetworkPolicy(Kubernetes) 또는 호스트 방화벽 규칙(Compose)을 사용하세요.
• MCP 서버 범위를 제한하세요. 각 서버는 해당 목적에 필요한 도구와 데이터만 노출해야 합니다.
• 저장된 자격 증명을 보호하세요. 개인 키와 터널 토큰에 조직의 비밀 관리 관행을 적용하세요.



침해 의심 시 대응

터널 토큰, TLS 키 또는 프록시 호스트가 침해되었다고 판단되는 경우:



터널 해체

터널을 해제하고 저장된 모든 자격 증명을 제거하려면 다음 단계를 따르세요.