Безопасность MCP-туннелей

Архитектура туннелей обеспечивает надёжные настройки по умолчанию (только исходящие соединения, сквозное шифрование и проверка IP-адресов), однако общая безопасность вашего стека туннеля также зависит от того, как вы его настраиваете и эксплуатируете. На этой странице рассматриваются рекомендуемые меры по усилению защиты, реагирование на нарушения безопасности и порядок вывода туннеля из эксплуатации.



Рекомендации

• Требуйте OAuth на каждом MCP-сервере. Настройте каждый вышестоящий MCP-сервер так, чтобы он требовал OAuth, как описано в спецификации авторизации MCP. OAuth обеспечивает глубокоэшелонированную защиту поверх транспортной аутентификации туннеля и позволяет выполнять авторизацию на уровне пользователей на уровне данных.
• Включите SSO для вашей организации. Туннели, правила федерации и сервисные учётные записи управляются в Claude Console. SSO применяет механизмы контроля сессий вашего поставщика идентификации к администраторам, которые могут их изменять.
• Ограничьте upstream.allowed_ips. Используйте наименьшие диапазоны CIDR, охватывающие ваши MCP-серверы. Это основная защита прокси от SSRF-атак.
• Отслеживайте журналы. Настройте оповещения о предупреждениях, ошибках и необычных паттернах трафика из стека туннеля.
• Выполняйте ротацию учётных данных. Регулярно меняйте серверный сертификат и токен туннеля, а также немедленно — при подозрении на компрометацию.
• Обновляйте образы. Отслеживайте новые релизы прокси и закрепляйте образы по дайджесту SHA-256.
• Ограничьте сетевую доступность. Прокси и cloudflared должны иметь доступ только к адресам назначения, перечисленным в сетевых требованиях. Используйте NetworkPolicy (Kubernetes) или правила брандмауэра хоста (Compose).
• Ограничьте область действия MCP-серверов. Каждый сервер должен предоставлять только те инструменты и данные, которые необходимы для его назначения.
• Защищайте учётные данные при хранении. Применяйте принятые в вашей организации практики управления секретами к закрытым ключам и токенам туннелей.



Реагирование на подозрение в нарушении безопасности

Если вы считаете, что ваш токен туннеля, TLS-ключи или хост прокси были скомпрометированы:



Вывод туннеля из эксплуатации

Выполните следующие шаги, чтобы вывести туннель из эксплуатации и удалить все сохранённые учётные данные.