قوانین مسیریابی Claude Code

چرا claude.ai به‌تنهایی کافی نیست

سند رسمی پیکربندی شبکه سازمانی Claude Code، URLهایی را که در زمان اجرا لازم دارد فهرست می‌کند. چهار مورد اصلی عبارت‌اند از:

api.anthropic.com — درخواست‌های API، بررسی امنیت دامنه WebFetch، پرچم‌های قابلیت، رویدادهای تله‌متری
claude.ai — احراز هویت حساب کاربری claude.ai
claude.com — صفحه ورود (هدایت به claude.ai)، استعلام مستندات WebFetch
platform.claude.com — تبادل / تازه‌سازی / ابطال توکن OAuth — برای هر دو نوع حساب کاربری لازم است

توجه: چند فهرست مسیریابی پرتداول هنوز statsig.anthropic.com، sentry.io و cdn.anthropic.com را شامل می‌شوند. هیچ‌کدام از این‌ها دیگر جزو الزامات رسمی نیستند (تله‌متری به Datadog منتقل شده است) و دو مورد از آن‌ها اصلاً در DNS تفکیک نمی‌شوند. همه موارد زیر با سند رسمی تطبیق داده شده‌اند و تاریخ بررسی نیز ذکر شده است.

موردی که همه از قلم می‌اندازند: platform.claude.com

سند رسمی تصریح می‌کند که این میزبان تبادل، تازه‌سازی و ابطال توکن OAuth را انجام می‌دهد — نه فقط برای حساب‌های کاربری Console، بلکه برای ورود با claude.ai هم. با این حال تقریباً همه فهرست‌های مسیریابی در گردش آن را از قلم انداخته‌اند.

از قلم انداختن آن فقط از دست دادن یک قابلیت نیست: تازه‌سازی توکن از اتصال مستقیم شما خارج می‌شود، بنابراین IP خروجی درخواست تازه‌سازی دیگر با ترافیک API شما همخوان نیست — دقیقاً همان نوع ناهمخوانی که سیستم‌های کنترل ریسک به دنبالش هستند. نشانه آن نامحسوس است: به‌طور تصادفی از حساب خارج می‌شوید.

فهرست کامل مسیریابی (گروه‌بندی‌شده مطابق سند رسمی)

الزامات اصلی

نبودِ هر یک از این‌ها ورود یا گفتگو را مختل می‌کند

api.anthropic.com: درخواست‌های API، بررسی امنیت دامنه WebFetch، پرچم‌های قابلیت، رویدادهای تله‌متری
claude.ai: احراز هویت حساب کاربری claude.ai
claude.com: صفحه ورود (هدایت به claude.ai)، استعلام مستندات WebFetch
platform.claude.com: تبادل / تازه‌سازی / ابطال توکن OAuth — برای هر دو نوع حساب کاربری لازم است

وابسته به قابلیت

فقط در صورت استفاده از قابلیت مربوط لازم است

mcp-proxy.anthropic.com: ترافیک کانکتور MCP از claude.ai
downloads.claude.ai: دانلود فایل‌های اجرایی افزونه، نصب‌کننده بومی و به‌روزرسان خودکار
bridge.claudeusercontent.com: پل WebSocket افزونه Claude in Chrome
*.frame.claudeusercontent.com: خواندن محتوای Artifact
registry.npmjs.org: نصب افزونه‌ها، سرورهای MCP اجراشده با npx و نصب خود Claude Code با npm/bun
storage.googleapis.com: فراداده و تعداد نصب افزونه‌ها، بارگذاری Artifactها
code.claude.com: استعلام مستندات داخلی (agent claude-code-guide و WebFetch از پیش مجاز)
raw.githubusercontent.com: فید تغییرات برای /release-notes
formulae.brew.sh: بررسی به‌روزرسانی در نصب‌های Homebrew؛ روش‌های نصب دیگر هرگز به آن درخواست نمی‌فرستند

نقاط پایانی تله‌متری (اختیاری)

فقط هنگام استفاده مستقیم از Anthropic API ارسال می‌شود؛ هرگز از طریق ارائه‌دهندگان شخص ثالث ارسال نمی‌شود

http-intake.logs.us5.datadoghq.com: رویدادهای تله‌متری عملیاتی
browser-intake-us5-datadoghq.com: گزارش خطاهای عملیاتی (وابسته به پرچم انتشار تدریجی در سمت سرور)

متغیرهای محیطی برای غیرفعال کردن ترافیک غیرضروری

اگر ترجیح می‌دهید تله‌متری را از مبدأ خاموش کنید، این روش از افزودن میزبان‌های تله‌متری به لیست سفید ساده‌تر است

CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1: هر دو نقطه پایانی Datadog را یک‌جا غیرفعال می‌کند
DISABLE_TELEMETRY=1: تله‌متری را غیرفعال می‌کند
DO_NOT_TRACK=1: استاندارد عمومی do-not-track (عدم ردیابی)؛ همان اثر
DISABLE_ERROR_REPORTING=1: گزارش خطا را غیرفعال می‌کند

قوانین پشتیبان IP / ASN

قوانین CIDR / ASN فقط آخرین راه‌حل پشتیبان هستند و باید به‌طور دوره‌ای با تغییرات BGP/ASN تطبیق داده شوند. نمونه‌های زیر را فهرست کامل و دائمی در نظر نگیرید:

IP-CIDR, 160.79.104.0/21

IP-CIDR6, 2607:6bc0::/32

IP-ASN, AS399358

جزئیات بیشتر: AS399358 در حال حاضر 160.79.104.0/23 و دو بلوک IPv6 /48 (2607:6bc0::/48، 2607:6bc0:11::/48) را اعلام می‌کند — محدودتر از بلوک‌های ثبت‌شده. پیکربندی بلوک‌های ثبت‌شده پوشش گسترده‌تر و امن‌تری دارد. همچنین توجه کنید که میزبان‌های تله‌متری و نصب (Datadog، npm، GitHub، Google Cloud) خارج از محدوده‌های خود Anthropic هستند، بنابراین قوانین پشتیبان IP نمی‌توانند آن‌ها را پوشش دهند؛ فقط قوانین دامنه می‌توانند.

همگام‌سازی زمان سیستم

الزامات رسمی شبکه خود Claude Code شامل NTP نیست. با این حال، انحراف زیاد ساعت سیستم می‌تواند باعث شکست TLS، ورود OAuth و فرایندهای امضای درخواست شود. توصیه می‌شود زمان سیستم دقیق نگه داشته شود؛ اینکه ترافیک NTP از پروکسی عبور کند یا نه، به محیط شبکه و قابلیت‌های کلاینت شما بستگی دارد.

یک ادعای رایج که باید اصلاح شود: برخی راهنماها می‌گویند Claude Code منطقه زمانی شما را از طریق NTP تشخیص می‌دهد و بنابراین باید NTP را از پروکسی عبور دهید. این در سطح پروتکل غیرممکن است — NTP فقط مُهرهای زمانی UTC را منتقل می‌کند و هیچ فیلد منطقه زمانی ندارد؛ منطقه زمانی از تنظیمات سیستم‌عامل شما می‌آید. NTP در هیچ جای الزامات رسمی شبکه هم نیامده است. چیزی که واقعاً باعث نشت منطقه زمانی شما می‌شود، APIهای Intl / getTimezoneOffset مرورگر و سیستم است و عبور NTP از پروکسی هیچ تأثیری بر آن ندارد.

نمونه قالب پیکربندی (فهرست دامنه‌ها)

# 核心 (DOMAIN-SUFFIX 已覆盖各自全部子域名)
DOMAIN-SUFFIX,anthropic.com,Claude
DOMAIN-SUFFIX,claude.ai,Claude
DOMAIN-SUFFIX,claude.com,Claude
DOMAIN-SUFFIX,clau.de,Claude
DOMAIN-SUFFIX,claudeusercontent.com,Claude

# 安装 / 插件 / 文档
DOMAIN-SUFFIX,registry.npmjs.org,Claude
DOMAIN,storage.googleapis.com,Claude
DOMAIN,raw.githubusercontent.com,Claude
DOMAIN,formulae.brew.sh,Claude

# 遥测 (可用环境变量关闭; 注意是独立域名, 后缀匹配抓不到)
DOMAIN,http-intake.logs.us5.datadoghq.com,Claude
DOMAIN,browser-intake-us5-datadoghq.com,Claude

# IP / ASN 兜底
IP-CIDR,160.79.104.0/21,Claude,no-resolve
IP-CIDR6,2607:6bc0::/32,Claude,no-resolve
IP-ASN,399358,Claude,no-resolve

توجه: DOMAIN-SUFFIX همه زیردامنه‌ها را پوشش می‌دهد، پس نیازی به تکرار آن‌ها نیست. دو میزبان دریافت (intake) Datadog دامنه‌های قابل ثبت جداگانه‌ای هستند و به تطبیق دقیق نیاز دارند. به قوانین CIDR/ASN گزینه no-resolve را اضافه کنید تا استعلام معکوس انجام نشود و سربار تطبیق کاهش یابد.

راستی‌آزمایی

پس از پیکربندی، با این ابزارها بررسی کنید که هیچ ترافیکی از قوانین جا نمانده باشد: