กฎการแยกเส้นทางของ Claude Code

ทำไมใส่แค่ claude.ai จึงไม่พอ

เอกสารการตั้งค่าเครือข่ายองค์กรอย่างเป็นทางการของ Claude Code ระบุ URL ที่ต้องใช้ขณะทำงาน 4 รายการหลักคือ:

api.anthropic.com — คำขอ API การตรวจความปลอดภัยของโดเมนสำหรับ WebFetch ฟีเจอร์แฟล็ก และเหตุการณ์ telemetry
claude.ai — การยืนยันตัวตนบัญชี claude.ai
claude.com — หน้าเข้าสู่ระบบ (เปลี่ยนเส้นทางไปที่ claude.ai) และการค้นหาเอกสารของ WebFetch
platform.claude.com — การแลกเปลี่ยน / รีเฟรช / เพิกถอน OAuth token — จำเป็นสำหรับบัญชีทั้งสองประเภท

หมายเหตุ: รายการแยกเส้นทางหลายชุดที่เผยแพร่กันทั่วไปยังคงใส่ statsig.anthropic.com, sentry.io และ cdn.anthropic.com ไว้ ซึ่งทั้งหมดไม่อยู่ในข้อกำหนดอย่างเป็นทางการแล้ว (telemetry ย้ายไปใช้ Datadog) และสองรายการในนั้น resolve ใน DNS ไม่ได้เลย ทุกรายการด้านล่างตรวจสอบกับเอกสารทางการแล้ว พร้อมระบุวันที่ตรวจสอบ

รายการที่ทุกคนมักลืม: platform.claude.com

เอกสารทางการระบุว่าโฮสต์นี้จัดการการแลกเปลี่ยน รีเฟรช และเพิกถอน OAuth token — ไม่ใช่แค่สำหรับบัญชี Console แต่รวมถึงการเข้าสู่ระบบด้วย claude.ai ด้วย ทว่ารายการแยกเส้นทางที่เผยแพร่กันแทบทั้งหมดไม่มีโฮสต์นี้

การลืมใส่ไม่ได้ทำให้เสียแค่ฟีเจอร์เดียว: การรีเฟรช token จะออกผ่านการเชื่อมต่อตรงของคุณ ทำให้ IP ขาออกของคำขอรีเฟรชไม่ตรงกับทราฟฟิก API ของคุณ — ซึ่งเป็นความไม่สอดคล้องที่ระบบควบคุมความเสี่ยงมองหาพอดี อาการจึงสังเกตยาก: คุณจะถูกออกจากระบบแบบสุ่ม

รายการแยกเส้นทางฉบับเต็ม (จัดกลุ่มตามเอกสารทางการ)

ข้อกำหนดหลัก

ขาดรายการใดรายการหนึ่งจะทำให้เข้าสู่ระบบหรือสนทนาไม่ได้

api.anthropic.com: คำขอ API การตรวจความปลอดภัยของโดเมนสำหรับ WebFetch ฟีเจอร์แฟล็ก และเหตุการณ์ telemetry
claude.ai: การยืนยันตัวตนบัญชี claude.ai
claude.com: หน้าเข้าสู่ระบบ (เปลี่ยนเส้นทางไปที่ claude.ai) และการค้นหาเอกสารของ WebFetch
platform.claude.com: การแลกเปลี่ยน / รีเฟรช / เพิกถอน OAuth token — จำเป็นสำหรับบัญชีทั้งสองประเภท

ขึ้นกับฟีเจอร์

จำเป็นเฉพาะเมื่อคุณใช้ฟีเจอร์ที่เกี่ยวข้อง

mcp-proxy.anthropic.com: ทราฟฟิกตัวเชื่อมต่อ MCP จาก claude.ai
downloads.claude.ai: การดาวน์โหลดไฟล์ปฏิบัติการของปลั๊กอิน ตัวติดตั้งแบบเนทีฟ และตัวอัปเดตอัตโนมัติ
bridge.claudeusercontent.com: บริดจ์ WebSocket ของส่วนขยาย Claude in Chrome
*.frame.claudeusercontent.com: การอ่านเนื้อหา Artifact
registry.npmjs.org: การติดตั้งปลั๊กอิน MCP server ที่เรียกใช้ผ่าน npx และการติดตั้ง Claude Code เองผ่าน npm/bun
storage.googleapis.com: เมทาดาตาและยอดติดตั้งของปลั๊กอิน การอัปโหลด Artifact
code.claude.com: การค้นหาเอกสารในตัว (agent claude-code-guide และ WebFetch ที่อนุญาตไว้ล่วงหน้า)
raw.githubusercontent.com: ฟีดบันทึกการเปลี่ยนแปลงสำหรับ /release-notes
formulae.brew.sh: ตรวจหาอัปเดตสำหรับการติดตั้งผ่าน Homebrew วิธีติดตั้งแบบอื่นจะไม่เชื่อมต่อมาที่นี่

ปลายทาง telemetry (ไม่บังคับ)

ส่งเฉพาะเมื่อใช้ Anthropic API โดยตรง ไม่ส่งเมื่อใช้ผ่านผู้ให้บริการบุคคลที่สาม

http-intake.logs.us5.datadoghq.com: อีเวนต์ telemetry ด้านการทำงาน
browser-intake-us5-datadoghq.com: รายงานข้อผิดพลาดด้านการทำงาน (ควบคุมด้วยแฟล็กการทยอยเปิดใช้ฝั่งเซิร์ฟเวอร์)

ตัวแปรสภาพแวดล้อมสำหรับปิดทราฟฟิกที่ไม่จำเป็น

ง่ายกว่าการเพิ่มโฮสต์ telemetry ลงไวต์ลิสต์ หากคุณต้องการปิดตั้งแต่ต้นทาง

CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1: ปิด endpoint ของ Datadog ทั้งสองรายการพร้อมกัน
DISABLE_TELEMETRY=1: ปิด telemetry
DO_NOT_TRACK=1: มาตรฐาน do-not-track ทั่วไป ให้ผลเหมือนกัน
DISABLE_ERROR_REPORTING=1: ปิดการรายงานข้อผิดพลาด

กฎสำรองตาม IP / ASN

กฎ CIDR / ASN ใช้เป็นทางสำรองสุดท้ายเท่านั้น และต้องตรวจซ้ำเป็นระยะตามการเปลี่ยนแปลงของ BGP/ASN อย่าถือว่าตัวอย่างด้านล่างเป็นรายการที่สมบูรณ์ถาวร:

IP-CIDR, 160.79.104.0/21

IP-CIDR6, 2607:6bc0::/32

IP-ASN, AS399358

รายละเอียดเพิ่มเติม: ปัจจุบัน AS399358 ประกาศ 160.79.104.0/23 และ IPv6 /48 สองบล็อก (2607:6bc0::/48, 2607:6bc0:11::/48) ซึ่งแคบกว่าบล็อกที่จดทะเบียนไว้ การตั้งค่าตามบล็อกที่จดทะเบียนจึงครอบคลุมกว้างกว่าและปลอดภัยกว่า โปรดทราบด้วยว่าโฮสต์ของ telemetry และการติดตั้ง (Datadog, npm, GitHub, Google Cloud) อยู่นอกช่วงของ Anthropic เอง กฎสำรองตาม IP จึงครอบคลุมไม่ได้ ต้องใช้กฎตามโดเมนเท่านั้น

การซิงค์เวลาของระบบ

ข้อกำหนดเครือข่ายอย่างเป็นทางการของ Claude Code เองไม่ได้รวม NTP แต่หากนาฬิการะบบคลาดเคลื่อนมาก อาจทำให้ TLS การเข้าสู่ระบบด้วย OAuth และขั้นตอนการลงนามคำขอล้มเหลว แนะนำให้รักษาเวลาของระบบให้ถูกต้อง ส่วนจะส่งทราฟฟิก NTP ผ่าน proxy หรือไม่ขึ้นกับสภาพแวดล้อมเครือข่ายและความสามารถของไคลเอนต์

ขอแก้ความเชื่อที่แพร่หลายข้อหนึ่ง: คู่มือบางแห่งบอกว่า Claude Code ตรวจเขตเวลาของคุณผ่าน NTP คุณจึงต้องส่ง NTP ผ่าน proxy ซึ่งเป็นไปไม่ได้ในระดับโปรโตคอล — NTP ส่งเพียง timestamp แบบ UTC และไม่มีฟิลด์เขตเวลา เขตเวลามาจากการตั้งค่าระบบปฏิบัติการของคุณ และ NTP ก็ไม่ปรากฏในข้อกำหนดเครือข่ายอย่างเป็นทางการเลย สิ่งที่ทำให้เขตเวลาของคุณรั่วไหลจริง ๆ คือ API Intl / getTimezoneOffset ของเบราว์เซอร์และระบบ ซึ่งการส่ง NTP ผ่าน proxy ไม่ช่วยอะไรเลย

ตัวอย่างรูปแบบการตั้งค่า (รายการโดเมน)

# 核心 (DOMAIN-SUFFIX 已覆盖各自全部子域名)
DOMAIN-SUFFIX,anthropic.com,Claude
DOMAIN-SUFFIX,claude.ai,Claude
DOMAIN-SUFFIX,claude.com,Claude
DOMAIN-SUFFIX,clau.de,Claude
DOMAIN-SUFFIX,claudeusercontent.com,Claude

# 安装 / 插件 / 文档
DOMAIN-SUFFIX,registry.npmjs.org,Claude
DOMAIN,storage.googleapis.com,Claude
DOMAIN,raw.githubusercontent.com,Claude
DOMAIN,formulae.brew.sh,Claude

# 遥测 (可用环境变量关闭; 注意是独立域名, 后缀匹配抓不到)
DOMAIN,http-intake.logs.us5.datadoghq.com,Claude
DOMAIN,browser-intake-us5-datadoghq.com,Claude

# IP / ASN 兜底
IP-CIDR,160.79.104.0/21,Claude,no-resolve
IP-CIDR6,2607:6bc0::/32,Claude,no-resolve
IP-ASN,399358,Claude,no-resolve

หมายเหตุ: DOMAIN-SUFFIX ครอบคลุมทุกโดเมนย่อยอยู่แล้ว จึงไม่ต้องใส่ซ้ำ โฮสต์ intake ของ Datadog ทั้งสองเป็นโดเมนที่จดทะเบียนแยกกันและต้องจับคู่แบบตรงทั้งหมด ใส่ no-resolve ให้กฎ CIDR/ASN เพื่อข้ามการค้นหาย้อนกลับและลดภาระการจับคู่

การตรวจสอบ

หลังตั้งค่าแล้ว ใช้เครื่องมือเหล่านี้ตรวจว่าไม่มีทราฟฟิกหลุดออกไป: