Dlaczego samo claude.ai nie wystarczy
Oficjalna dokumentacja konfiguracji sieci firmowej Claude Code wymienia adresy URL potrzebne w czasie działania. Cztery kluczowe to:
api.anthropic.com— Żądania API, kontrola bezpieczeństwa domen WebFetch, flagi funkcji, zdarzenia telemetriiclaude.ai— Uwierzytelnianie konta claude.aiclaude.com— Strona logowania (przekierowuje do claude.ai), wyszukiwanie w dokumentacji przez WebFetchplatform.claude.com— Wymiana / odświeżanie / unieważnianie tokenów OAuth — wymagane dla obu typów kont
Domena, o której wszyscy zapominają: platform.claude.com
Oficjalna dokumentacja podaje, że ten host obsługuje wymianę, odświeżanie i unieważnianie tokenów OAuth — nie tylko dla kont Console, ale też przy logowaniu przez claude.ai. A mimo to pomija go niemal każda krążąca lista routingu.
Pominięcie go to nie tylko brak jednej funkcji: odświeżanie tokenu idzie wtedy przez Twoje połączenie bezpośrednie, więc wyjściowe IP żądania odświeżenia przestaje pasować do ruchu API — to dokładnie taka niespójność, jakiej szukają systemy oceny ryzyka. Objaw jest subtelny: co jakiś czas po prostu następuje wylogowanie.
Pełna lista routingu (pogrupowana jak w oficjalnej dokumentacji)
Wymagania podstawowe
Brak którejkolwiek z nich psuje logowanie lub rozmowę
api.anthropic.com- Żądania API, kontrola bezpieczeństwa domen WebFetch, flagi funkcji, zdarzenia telemetrii
claude.ai- Uwierzytelnianie konta claude.ai
claude.com- Strona logowania (przekierowuje do claude.ai), wyszukiwanie w dokumentacji przez WebFetch
platform.claude.com- Wymiana / odświeżanie / unieważnianie tokenów OAuth — wymagane dla obu typów kont
Zależne od funkcji
Potrzebne tylko, jeśli używasz danej funkcji; jeśli nie, nie musisz ich przepuszczać
mcp-proxy.anthropic.com- Ruch konektorów MCP z claude.ai
downloads.claude.ai- Pobieranie plików wykonywalnych wtyczek, natywny instalator i automatyczne aktualizacje
bridge.claudeusercontent.com- Most WebSocket rozszerzenia Claude in Chrome
*.frame.claudeusercontent.com- Odczyt zawartości artefaktów (Artifact)
registry.npmjs.org- Instalacja wtyczek, serwery MCP uruchamiane przez npx, instalacja samego Claude Code przez npm/bun
storage.googleapis.com- Metadane wtyczek i liczba instalacji, przesyłanie artefaktów
code.claude.com- Wbudowane wyszukiwanie w dokumentacji (agent claude-code-guide i wstępnie zatwierdzony WebFetch)
raw.githubusercontent.com- Kanał historii zmian dla /release-notes
formulae.brew.sh- Sprawdzanie aktualizacji w instalacjach Homebrew; inne metody instalacji nigdy się z nim nie łączą
Endpointy telemetrii (opcjonalne)
Wysyłane tylko przy bezpośrednim korzystaniu z Anthropic API; nigdy u zewnętrznych dostawców
http-intake.logs.us5.datadoghq.com- Operacyjne zdarzenia telemetrii
browser-intake-us5-datadoghq.com- Operacyjne raporty błędów (zależne od flagi wdrożenia po stronie serwera)
Zmienne środowiskowe wyłączające zbędny ruch
Prostsze niż dodawanie hostów telemetrii do białej listy, jeśli wolisz wyłączyć je u źródła
CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1- Wyłącza oba endpointy Datadog naraz
DISABLE_TELEMETRY=1- Wyłącza telemetrię
DO_NOT_TRACK=1- Ogólny standard „do not track”; ten sam efekt
DISABLE_ERROR_REPORTING=1- Wyłącza raportowanie błędów
Reguły awaryjne IP / ASN
Reguły CIDR / ASN to wyłącznie ostateczne zabezpieczenie i trzeba je okresowo weryfikować pod kątem zmian BGP/ASN. Nie traktuj poniższych przykładów jako stałej, kompletnej listy:
Dodatkowy szczegół: AS399358 ogłasza obecnie 160.79.104.0/23 i dwa bloki IPv6 /48 (2607:6bc0::/48, 2607:6bc0:11::/48) — węższe niż zarejestrowane bloki. Konfiguracja zarejestrowanych bloków jest szersza i bezpieczniejsza. Zauważ też, że hosty telemetrii i instalacji (Datadog, npm, GitHub, Google Cloud) leżą poza zakresami Anthropic, więc reguły awaryjne IP ich nie obejmą; mogą to zrobić tylko reguły domenowe.
Synchronizacja czasu systemowego
Oficjalne wymagania sieciowe samego Claude Code nie obejmują NTP. Jednak znaczne odchylenie zegara systemowego może powodować błędy TLS, logowania OAuth i podpisywania żądań. Zalecamy dbanie o dokładny czas systemowy; to, czy kierować ruch NTP przez proxy, zależy od Twojego środowiska sieciowego i możliwości klienta.
Warto sprostować jedno rozpowszechnione twierdzenie: niektóre poradniki twierdzą, że Claude Code ustala Twoją strefę czasową przez NTP, więc trzeba kierować NTP przez proxy. Na poziomie protokołu jest to niemożliwe — NTP przenosi tylko znaczniki czasu UTC i nie ma pola strefy czasowej; strefa czasowa pochodzi z ustawień systemu operacyjnego. NTP nie występuje też nigdzie w oficjalnych wymaganiach sieciowych. Strefa czasowa naprawdę wycieka przez interfejsy Intl / getTimezoneOffset przeglądarki i systemu, na które kierowanie NTP przez proxy nie ma żadnego wpływu.
Przykład formatu konfiguracji (lista domen)
# 核心 (DOMAIN-SUFFIX 已覆盖各自全部子域名) DOMAIN-SUFFIX,anthropic.com,Claude DOMAIN-SUFFIX,claude.ai,Claude DOMAIN-SUFFIX,claude.com,Claude DOMAIN-SUFFIX,clau.de,Claude DOMAIN-SUFFIX,claudeusercontent.com,Claude # 安装 / 插件 / 文档 DOMAIN-SUFFIX,registry.npmjs.org,Claude DOMAIN,storage.googleapis.com,Claude DOMAIN,raw.githubusercontent.com,Claude DOMAIN,formulae.brew.sh,Claude # 遥测 (可用环境变量关闭; 注意是独立域名, 后缀匹配抓不到) DOMAIN,http-intake.logs.us5.datadoghq.com,Claude DOMAIN,browser-intake-us5-datadoghq.com,Claude # IP / ASN 兜底 IP-CIDR,160.79.104.0/21,Claude,no-resolve IP-CIDR6,2607:6bc0::/32,Claude,no-resolve IP-ASN,399358,Claude,no-resolve
Uwaga: DOMAIN-SUFFIX obejmuje już wszystkie subdomeny, więc nie trzeba ich powtarzać. Dwa hosty intake Datadog to osobne domeny rejestrowalne i wymagają dokładnego dopasowania. Do reguł CIDR/ASN dodaj no-resolve, aby pominąć wyszukiwanie DNS i zmniejszyć narzut dopasowywania.
Weryfikacja
Po konfiguracji użyj tych narzędzi, aby sprawdzić, czy żaden ruch nie wycieka: