---
title: Управление туннелями в Console
url: https://platform.claude.com/docs/ru/agents-and-tools/mcp-tunnels/console
description: Создавайте туннели, регистрируйте сертификаты CA, получайте токен туннеля и подключайте туннелированные серверы MCP к агентам из Claude Console.
---
«MCP tunnels» (туннели MCP) находятся на этапе «research preview» (исследовательская предварительная версия). [Запросите доступ](https://claude.com/form/mcp-tunnels), чтобы опробовать их.
На этой странице рассматривается сторона Console при развёртывании туннелей MCP: создание туннеля, регистрация вашего сертификата CA, получение токена туннеля и подключение [вышестоящих серверов MCP](https://platform.claude.com/docs/ru/agents-and-tools/mcp-tunnels/concepts#components) (upstream MCP servers) к агенту. Страницы [Развёртывание туннелей MCP с помощью Helm](https://platform.claude.com/docs/ru/agents-and-tools/mcp-tunnels/deploy-helm) и [Развёртывание туннелей MCP с помощью Docker Compose](https://platform.claude.com/docs/ru/agents-and-tools/mcp-tunnels/deploy-compose) описывают запуск [стека туннеля](https://platform.claude.com/docs/ru/agents-and-tools/mcp-tunnels/concepts#components) (tunnel stack) внутри вашей сети.
## Предварительные требования
* **Один или несколько серверов MCP**, работающих в вашей частной сети. Туннель направляет к ним трафик; он их не размещает. Примеры, которые вы можете развернуть, см. в разделе [Удалённые серверы MCP](https://platform.claude.com/docs/ru/agents-and-tools/remote-mcp-servers).
* **Роль в Console с разрешением Manage tunnels**, чтобы вы могли создавать и архивировать туннели, выполнять ротацию токена и управлять сертификатами. Администраторы и владельцы организации имеют его по умолчанию; пользовательские роли и разрешения для отдельных учётных записей также могут его включать. Роли без этого разрешения имеют доступ только для чтения к странице **MCP tunnels** и сведениям о туннелях.
* **Способ аутентификации вашего стека в Tunnels API.** Выберите один из вариантов:
* **[Программный доступ](https://platform.claude.com/docs/ru/agents-and-tools/mcp-tunnels/concepts#credential-provisioning) (programmatic access, рекомендуется).** Настройте [Workload Identity Federation](https://platform.claude.com/docs/ru/manage-claude/workload-identity-federation) (федерацию удостоверений рабочих нагрузок) при создании туннеля, чтобы ваш стек выпускал краткосрочные токены API от вашего поставщика удостоверений, получал токен туннеля, а также автоматически генерировал и регистрировал сертификат CA. Требуется разрешение на управление правилами федерации, зарегистрированный издатель OIDC и правило федерации с областью действия `workspace:manage_tunnels`.
* **[Вручную](https://platform.claude.com/docs/ru/agents-and-tools/mcp-tunnels/concepts#credential-provisioning).** Пропустите программный доступ. После создания туннеля [получите токен туннеля](https://platform.claude.com/docs/ru/agents-and-tools/mcp-tunnels/console#get-the-connection-details), самостоятельно сгенерируйте и [зарегистрируйте сертификат CA](https://platform.claude.com/docs/ru/agents-and-tools/mcp-tunnels/console#add-a-ca-certificate), а затем передайте токен и ваш серверный сертификат стеку туннеля в виде секретов.
## Создание туннеля
В Claude Console перейдите на страницу [MCP tunnels](https://platform.claude.com/settings/workspaces/default/mcp-tunnels) (`platform.claude.com/settings/workspaces/default/mcp-tunnels`). Туннели привязаны к рабочему пространству; новый туннель принадлежит рабочему пространству, выбранному в данный момент в Console. Выберите нужное рабочее пространство в селекторе рабочих пространств на боковой панели.
Нажмите **New tunnel** и введите имя в диалоговом окне **Create tunnel**. Имя обязательно и идентифицирует туннель в списке, на странице сведений и в средстве выбора серверов MCP агента. Домен вида `abcd1234.tunnel.anthropic.com` назначается автоматически.
Если ваша роль позволяет управлять правилами федерации, появляется переключатель **Set up programmatic access** (по умолчанию выключен). Если нет, Console показывает на его месте уведомление, и ваш стек туннеля использует ручной процесс. Остальная часть процесса создания одинакова в обоих случаях.
Программный доступ опирается на [Workload Identity Federation](https://platform.claude.com/docs/ru/manage-claude/workload-identity-federation); сначала прочитайте эту страницу, если издатели федерации, правила и сервисные учётные записи вам незнакомы. Чтобы включить переключатель, вам потребуется:
1. **Зарегистрированный издатель OIDC** для поставщика удостоверений, токены которого предъявляет ваш стек (например, кластер Kubernetes, AWS IAM, Google Cloud или GitHub Actions). Зарегистрируйте его на вкладке **Issuers** страницы [Workload identity](https://platform.claude.com/settings/workload-identity-federation) (`platform.claude.com/settings/workload-identity-federation`) в Claude Console, если в вашей организации его нет.
2. **Правило федерации с областью действия `workspace:manage_tunnels`.** При включении переключателя появляется средство выбора **Federation rule**. Выберите существующее правило с этой областью действия или нажмите **Create federation rule**, чтобы создать его прямо здесь.
3. **Сервисная учётная запись правила, добавленная в это рабочее пространство.** Tunnels API выполняет авторизацию на основе членства сервисной учётной записи в рабочих пространствах. Если вы создаёте туннель в рабочем пространстве, отличном от рабочего пространства организации по умолчанию, [добавьте сервисную учётную запись в это рабочее пространство](https://platform.claude.com/docs/ru/manage-claude/workspaces#role-inheritance) и передайте идентификатор рабочего пространства при развёртывании (`api.wif.workspaceId` для Helm, `ANTHROPIC_WORKSPACE_ID` для Compose).
Пропуск этого шага полностью поддерживается; в обоих руководствах по развёртыванию есть вкладка **Without programmatic access**.
Нажмите **Create tunnel**. Console подготавливает туннель и открывает страницу сведений.
Для обоих путей развёртывания необходимы:
* **Идентификатор туннеля** (`tnl_...`), показанный на странице сведений о туннеле.
* **Домен туннеля** (`abcd1234.tunnel.anthropic.com`), показанный на странице сведений о туннеле. Используется как `tunnel_domain` прокси и в SAN серверного сертификата.
Что ещё вам потребуется, зависит от [режима предоставления учётных данных](https://platform.claude.com/docs/ru/agents-and-tools/mcp-tunnels/concepts#credential-provisioning):
| С программным доступом | Без программного доступа |
| ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| **Идентификатор правила федерации** (`fdrl_...`) выбранного вами правила. Правило действует на уровне организации и не хранится в туннеле; найдите его на вкладке **Rules** страницы [Workload identity](https://platform.claude.com/settings/workload-identity-federation?tab=rules) (`platform.claude.com/settings/workload-identity-federation?tab=rules`) в Claude Console. | **Токен туннеля**, отображаемый с помощью значка глаза рядом с полем **Token** на странице сведений. Обращайтесь с ним как с секретом. См. раздел [Получение сведений о подключении](https://platform.claude.com/docs/ru/agents-and-tools/mcp-tunnels/console#get-the-connection-details). |
| **Идентификатор организации** (UUID), отображаемый на странице [Organization](https://platform.claude.com/settings/organization) (`platform.claude.com/settings/organization`) в Claude Console. | **Сертификат CA**, который вы генерируете и [регистрируете в туннеле](https://platform.claude.com/docs/ru/agents-and-tools/mcp-tunnels/console#add-a-ca-certificate). |
При программном доступе ваш стек получает токен туннеля через Tunnels API, локально генерирует CA и серверный сертификат (закрытый ключ никогда не покидает вашу среду) и регистрирует в Anthropic только открытый сертификат CA. Вы по-прежнему отвечаете за защиту закрытых ключей и обновление серверного сертификата до истечения его срока действия.
В вашей организации может быть до 10 активных туннелей. Создание туннеля не устанавливает никакого соединения; это происходит после того, как ваш стек подключается с токеном туннеля и зарегистрирован сертификат CA.
## Получение сведений о подключении
Откройте туннель. На странице сведений отображается раздел **Connection** с доменом и токеном, а также раздел **Certificates**.
| Поле | Описание |
| ---------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **Domain** | Скопируйте назначенное значение `abcd1234.tunnel.anthropic.com`. Маршруты вашего прокси являются поддоменами этого домена. |
| **Token** | Нажмите значок глаза (**Show token**), чтобы получить токен туннеля, затем с помощью значка копирования скопируйте его в хранилище секретов вашего стека туннеля. Нажмите **Rotate token**, чтобы аннулировать текущий токен и выпустить новый. |
Каждое отображение и каждая ротация записываются в журнал активности [Compliance API](https://platform.claude.com/docs/ru/manage-claude/compliance-api) вашей организации. Ротация не разрывает уже установленные соединения cloudflared, поэтому вы можете выполнить ротацию, повторно развернуть стек с новым значением и дать старым соединениям завершиться.
## Добавление сертификата CA
Anthropic проверяет [внутренний TLS](https://platform.claude.com/docs/ru/agents-and-tools/mcp-tunnels/concepts#components) (inner TLS) к вашему [прокси](https://platform.claude.com/docs/ru/agents-and-tools/mcp-tunnels/concepts#components) по сертификатам CA, которые вы регистрируете в туннеле. Туннель без активных сертификатов не может принимать соединения и не появляется в средстве выбора серверов MCP агента, пока сертификат не будет зарегистрирован.
На странице сведений о туннеле прокрутите до раздела **Certificates** и нажмите **Add certificate**.
Нажмите **Choose file**, чтобы выбрать файл `.pem`, `.crt` или `.cer`, перетащите файл в текстовую область или вставьте блок PEM напрямую. Модальное окно отклоняет материалы закрытых ключей и содержимое, не являющееся блоком `-----BEGIN CERTIFICATE-----`. Размер файла не должен превышать 8 кБ.
Нажмите **Add certificate**. Отпечаток и срок действия появляются в списке сертификатов, а счётчик слотов в заголовке раздела увеличивается.
Туннель может содержать до двух активных сертификатов, чтобы вы могли выполнять ротацию без простоя: зарегистрируйте новый сертификат рядом со старым, повторно разверните прокси с новой парой ключей, убедитесь, что трафик проходит, а затем нажмите **Revoke** в строке старого сертификата. Отозванные сертификаты остаются видимыми в списке со значком **Revoked**.
## Развёртывание стека туннеля
Туннель существует в Console, но трафик не проходит, пока стек туннеля не запущен внутри вашей сети и не подключён с токеном туннеля. Следуйте одному из руководств по развёртыванию:
Запустите стек туннеля на одном хосте. Поддерживаются как программный доступ, так и ручной процесс.
Запустите стек туннеля в кластере Kubernetes. Поддерживаются как программный доступ, так и ручной процесс.
## Использование туннеля в агенте
Когда ваш стек запущен и в нём настроен один или несколько серверов MCP, подключите вышестоящий сервер MCP к сеансу Managed Agent. Чтобы вместо этого вызывать те же серверы из Messages API, см. раздел [Использование туннелированных серверов MCP](https://platform.claude.com/docs/ru/agents-and-tools/mcp-tunnels/overview#use-the-tunneled-mcp-servers).
Средство выбора показывает только туннели, имеющие хотя бы один активный сертификат. Туннель, для которого в списке **MCP tunnels** всё ещё отображается **Needs certificate**, не появляется в раскрывающемся списке; сначала зарегистрируйте сертификат CA. Средство выбора также привязано к рабочему пространству: оно показывает туннели в том же рабочем пространстве, что и сеанс, а не в других рабочих пространствах.
В Claude Console перейдите на страницу [Sessions](https://platform.claude.com/sessions) (`platform.claude.com/sessions`) и нажмите **Create session**.
В средстве выбора агента выберите **Create new agent**, чтобы вы могли напрямую редактировать список серверов MCP.
Нажмите **+ MCP Server** и откройте раскрывающийся список. Туннели, созданные в текущем рабочем пространстве, отображаются в верхней части списка, над каталогом общедоступных коннекторов. Выберите туннель, за которым находится сервер, к которому вы хотите обратиться.
На карточке отображаются два необязательных поля: **Subdomain** (добавляется перед доменом туннеля) и **Path** (добавляется после него). Заполните одно или оба поля в зависимости от того, как настроены маршруты вашего прокси. Строка **Resolves to** показывает полный URL сервера MCP, к которому подключается агент.
Туннель передаёт трафик; он не выполняет аутентификацию на вышестоящем сервере MCP. Настройте OAuth или аутентификацию по токену-носителю (bearer) на сервере MCP так же, как для любого другого сервера MCP.
## Архивирование туннеля
Архивирование немедленно прекращает приём соединений туннелем и является необратимым.
В Claude Console перейдите на страницу [MCP tunnels](https://platform.claude.com/settings/workspaces/default/mcp-tunnels) (`platform.claude.com/settings/workspaces/default/mcp-tunnels`). В селекторе рабочих пространств на боковой панели выберите рабочее пространство, в котором находится туннель. Откройте меню строки туннеля и выберите **Archive**. Архивированные туннели остаются видимыми, если отфильтровать список по **Archived** или **All**.
## Следующие шаги
Установка в кластере Kubernetes с помощью Helm-чарта Anthropic.
Рекомендации по усилению защиты, ротация учётных данных и реагирование на нарушения безопасности.