消息MCP 隧道

MCP 隧道快速入门

使用本地 Docker Compose 部署将 Claude 连接到私有 MCP 服务器。

MCP 隧道目前处于研究预览阶段。申请访问权限以进行试用。

本快速入门将带您从零开始，直到 Claude 通过隧道调用私有 MCP 服务器。它使用 Docker Compose 和手动凭证配置，这是本地测试的最短路径。对于生产部署，请参阅使用 Helm 部署或使用 Docker Compose 部署。

您将构建什么

一个双容器隧道堆栈（代理和 cloudflared），以及与其一起运行的示例 MCP 服务器。当一切运行起来后，即使没有任何服务监听公共端口，Claude 也可以通过 https://echo.<your-tunnel-domain>/mcp 访问该示例服务器。

您需要什么

在具有出站互联网访问权限的机器上安装 Docker 和 Docker Compose。
在 Claude Console 中拥有可以管理 MCP 隧道的角色。请参阅 Console 指南先决条件。
OpenSSL 1.1.1 或更高版本。macOS 和大多数 Linux 发行版已预装；在 Windows 上需要单独安装（openssl 二进制文件必须在您的 PATH 中）。

创建隧道
在 Claude Console 侧边栏中，转到 Manage > MCP tunnels 并点击 New tunnel。为其命名。保持 Set up programmatic access 关闭；本快速入门使用手动凭证配置。
创建完成后，打开该隧道。从 Connection 部分复制两个值：
- Domain（类似于 abcd1234.tunnel.anthropic.com）
- Token（点击眼睛图标，然后复制）

设置部署目录

mkdir -p mcp-tunnel/{config,data}
cd mcp-tunnel
export TUNNEL_DOMAIN=YOUR_TUNNEL_DOMAIN_HERE   # from step 1
export TUNNEL_TOKEN='eyJ...'            # from step 1

生成 CA 和服务器证书

代理使用由您控制的 CA 签名的证书来终止内部 TLS。生成两者：

openssl req -x509 -newkey rsa:2048 -nodes \
  -keyout data/ca.key -out data/ca.crt \
  -days 3650 -subj "/CN=mcp-tunnel-ca" \
  -addext "basicConstraints=critical,CA:TRUE" \
  -addext "keyUsage=critical,keyCertSign,cRLSign" \
  -addext "subjectKeyIdentifier=hash"

cat > data/tls.ext <<EOF
subjectAltName = DNS:${TUNNEL_DOMAIN},DNS:*.${TUNNEL_DOMAIN}
authorityKeyIdentifier = keyid,issuer
extendedKeyUsage = serverAuth
EOF

openssl req -newkey rsa:2048 -nodes \
  -keyout data/tls.key -out /tmp/server.csr \
  -subj "/CN=${TUNNEL_DOMAIN}"
openssl x509 -req -in /tmp/server.csr \
  -CA data/ca.crt -CAkey data/ca.key -CAcreateserial \
  -out data/tls.crt -days 90 -extfile data/tls.ext

chmod 644 data/tls.key

回到 Console，在隧道详情页面上，点击 Add certificate 并上传 data/ca.crt（或粘贴其内容）。隧道状态将变为 Active。

编写示例 MCP 服务器

cat > hello_server.py <<'EOF'
from mcp.server.fastmcp import FastMCP

mcp = FastMCP("hello-server", host="0.0.0.0", port=9000)


@mcp.tool()
def hello(name: str = "world") -> str:
    """Say hello to someone."""
    return f"Hello, {name}!"


if __name__ == "__main__":
    mcp.run(transport="streamable-http")
EOF

编写代理配置和 compose 文件

cat > config/mcp-proxy.yaml <<EOF
listen_addr: ":8080"
tunnel_domain: ${TUNNEL_DOMAIN}
tls:
  cert_file: /data/tls.crt
  key_file: /data/tls.key
routes:
  echo: http://hello-mcp:9000
EOF

cat > docker-compose.yaml <<'EOF'
services:
  mcp-proxy:
    image: us-docker.pkg.dev/anthropic-public-registry/images/mcp-proxy@sha256:9d4c80593b559fc3ca3814866418744fa94858b02a4d4a4cc52d423e732ccc81
    volumes:
      - ./config/mcp-proxy.yaml:/etc/mcp-gateway/config.yaml:ro
      - ./data:/data:ro
    restart: unless-stopped

  cloudflared:
    image: cloudflare/cloudflared@sha256:6b599ca3e974349ead3286d178da61d291961182ec3fe9c505e1dd02c8ac31b0
    command: tunnel --no-autoupdate run --url http://localhost:8080
    environment:
      - TUNNEL_TOKEN
    network_mode: "service:mcp-proxy"
    restart: unless-stopped

  hello-mcp:
    image: python:3.13-slim
    working_dir: /app
    volumes:
      - ./hello_server.py:/app/hello_server.py:ro
    command: sh -c "pip install --quiet mcp && python hello_server.py"
    restart: unless-stopped
EOF

启动
docker compose up -d docker compose logs mcp-proxy | grep "route configured" docker compose logs cloudflared | grep "Registered tunnel connection"
您应该会看到一行 echo 的 route configured 日志和四行 Registered tunnel connection 日志。容器需要几秒钟才能启动；如果日志命令返回为空，请重新运行。
从 Claude 调用它
在 Console 中，转到 Managed Agents > Sessions 并创建一个会话。在代理选择器中选择 Create new agent，为代理命名，并保留预填充的模型。点击 + MCP Server，选择您的隧道，将 Subdomain 设置为 echo，将 Path 设置为 mcp。然后提问：

Use the hello tool to greet tunnel.

您应该会看到一次工具调用及其结果。

后续步骤

隧道已完成端到端验证。要换成您自己的 MCP 服务器，请将其添加到 docker-compose.yaml（或在同一 Docker 网络上运行它），在 config/mcp-proxy.yaml 中为其添加路由，然后重启代理（docker compose restart mcp-proxy）。

对于生产部署：

使用 Docker Compose 部署

加固的单主机部署，可选择是否使用编程访问。

使用 Helm 部署

具有自动凭证管理的 Kubernetes 部署。

Was this page helpful?

您需要什么

在具有出站互联网访问权限的机器上安装 Docker 和 Docker Compose。

在 Claude Console 中拥有可以管理 MCP 隧道的角色。请参阅 Console 指南先决条件。

OpenSSL 1.1.1 或更高版本。macOS 和大多数 Linux 发行版已预装；在 Windows 上需要单独安装（openssl 二进制文件必须在您的 PATH 中）。

创建隧道
在 Claude Console 侧边栏中，转到 Manage > MCP tunnels 并点击 New tunnel。为其命名。保持 Set up programmatic access 关闭；本快速入门使用手动凭证配置。
创建完成后，打开该隧道。从 Connection 部分复制两个值：
- Domain（类似于 abcd1234.tunnel.anthropic.com）
- Token（点击眼睛图标，然后复制）

设置部署目录

mkdir -p mcp-tunnel/{config,data}
cd mcp-tunnel
export TUNNEL_DOMAIN=YOUR_TUNNEL_DOMAIN_HERE   # from step 1
export TUNNEL_TOKEN='eyJ...'            # from step 1

生成 CA 和服务器证书

代理使用由您控制的 CA 签名的证书来终止内部 TLS。生成两者：

openssl req -x509 -newkey rsa:2048 -nodes \
  -keyout data/ca.key -out data/ca.crt \
  -days 3650 -subj "/CN=mcp-tunnel-ca" \
  -addext "basicConstraints=critical,CA:TRUE" \
  -addext "keyUsage=critical,keyCertSign,cRLSign" \
  -addext "subjectKeyIdentifier=hash"

cat > data/tls.ext <<EOF
subjectAltName = DNS:${TUNNEL_DOMAIN},DNS:*.${TUNNEL_DOMAIN}
authorityKeyIdentifier = keyid,issuer
extendedKeyUsage = serverAuth
EOF

openssl req -newkey rsa:2048 -nodes \
  -keyout data/tls.key -out /tmp/server.csr \
  -subj "/CN=${TUNNEL_DOMAIN}"
openssl x509 -req -in /tmp/server.csr \
  -CA data/ca.crt -CAkey data/ca.key -CAcreateserial \
  -out data/tls.crt -days 90 -extfile data/tls.ext

chmod 644 data/tls.key

回到 Console，在隧道详情页面上，点击 Add certificate 并上传 data/ca.crt（或粘贴其内容）。隧道状态将变为 Active。

编写示例 MCP 服务器

cat > hello_server.py <<'EOF'
from mcp.server.fastmcp import FastMCP

mcp = FastMCP("hello-server", host="0.0.0.0", port=9000)


@mcp.tool()
def hello(name: str = "world") -> str:
    """Say hello to someone."""
    return f"Hello, {name}!"


if __name__ == "__main__":
    mcp.run(transport="streamable-http")
EOF

编写代理配置和 compose 文件

cat > config/mcp-proxy.yaml <<EOF
listen_addr: ":8080"
tunnel_domain: ${TUNNEL_DOMAIN}
tls:
  cert_file: /data/tls.crt
  key_file: /data/tls.key
routes:
  echo: http://hello-mcp:9000
EOF

cat > docker-compose.yaml <<'EOF'
services:
  mcp-proxy:
    image: us-docker.pkg.dev/anthropic-public-registry/images/mcp-proxy@sha256:9d4c80593b559fc3ca3814866418744fa94858b02a4d4a4cc52d423e732ccc81
    volumes:
      - ./config/mcp-proxy.yaml:/etc/mcp-gateway/config.yaml:ro
      - ./data:/data:ro
    restart: unless-stopped

  cloudflared:
    image: cloudflare/cloudflared@sha256:6b599ca3e974349ead3286d178da61d291961182ec3fe9c505e1dd02c8ac31b0
    command: tunnel --no-autoupdate run --url http://localhost:8080
    environment:
      - TUNNEL_TOKEN
    network_mode: "service:mcp-proxy"
    restart: unless-stopped

  hello-mcp:
    image: python:3.13-slim
    working_dir: /app
    volumes:
      - ./hello_server.py:/app/hello_server.py:ro
    command: sh -c "pip install --quiet mcp && python hello_server.py"
    restart: unless-stopped
EOF

启动
docker compose up -d docker compose logs mcp-proxy | grep "route configured" docker compose logs cloudflared | grep "Registered tunnel connection"
您应该会看到一行 echo 的 route configured 日志和四行 Registered tunnel connection 日志。容器需要几秒钟才能启动；如果日志命令返回为空，请重新运行。
从 Claude 调用它
在 Console 中，转到 Managed Agents > Sessions 并创建一个会话。在代理选择器中选择 Create new agent，为代理命名，并保留预填充的模型。点击 + MCP Server，选择您的隧道，将 Subdomain 设置为 echo，将 Path 设置为 mcp。然后提问：

Use the hello tool to greet tunnel.

您应该会看到一次工具调用及其结果。

后续步骤

对于生产部署：

Was this page helpful?

您将构建什么

您需要什么

后续步骤

您将构建什么

您需要什么

后续步骤

您将构建什么

您需要什么

后续步骤

您将构建什么

您需要什么

后续步骤