Quy tắc định tuyến cho Claude Code · Danh sách tên miền & proxy

Vì sao chỉ khai báo claude.ai là chưa đủ

Tài liệu cấu hình mạng doanh nghiệp chính thức của Claude Code liệt kê các URL cần truy cập khi chạy. Bốn mục cốt lõi là:

api.anthropic.com — Yêu cầu API, kiểm tra an toàn tên miền của WebFetch, feature flag, sự kiện telemetry
claude.ai — Xác thực tài khoản claude.ai
claude.com — Trang đăng nhập (chuyển hướng tới claude.ai), tra cứu tài liệu của WebFetch
platform.claude.com — Trao đổi / làm mới / thu hồi token OAuth — cần cho cả hai loại tài khoản

Lưu ý: nhiều danh sách định tuyến lưu hành rộng rãi vẫn có statsig.anthropic.com, sentry.io và cdn.anthropic.com. Cả ba đều không còn trong yêu cầu chính thức (telemetry đã chuyển sang Datadog), và hai trong số đó thậm chí không còn phân giải được trong DNS. Mọi mục bên dưới đều được đối chiếu với tài liệu chính thức, có ghi ngày kiểm tra.

Mục ai cũng bỏ sót: platform.claude.com

Tài liệu chính thức nêu rõ host này đảm nhiệm việc trao đổi, làm mới và thu hồi token OAuth — không chỉ với tài khoản Console mà cả khi đăng nhập bằng claude.ai. Vậy mà gần như mọi danh sách định tuyến đang lưu hành đều bỏ sót nó.

Bỏ sót nó không chỉ là mất một tính năng: việc làm mới token sẽ đi bằng kết nối trực tiếp của bạn, nên IP lối ra của yêu cầu làm mới không còn khớp với lưu lượng API của bạn — đúng loại bất nhất mà các hệ thống rủi ro tìm kiếm. Triệu chứng rất kín: bạn chỉ đơn giản là bị đăng xuất ngẫu nhiên.

Danh sách định tuyến đầy đủ (nhóm theo tài liệu chính thức)

Yêu cầu cốt lõi

Thiếu bất kỳ mục nào trong số này cũng làm hỏng đăng nhập hoặc hội thoại

api.anthropic.com: Yêu cầu API, kiểm tra an toàn tên miền của WebFetch, feature flag, sự kiện telemetry
claude.ai: Xác thực tài khoản claude.ai
claude.com: Trang đăng nhập (chuyển hướng tới claude.ai), tra cứu tài liệu của WebFetch
platform.claude.com: Trao đổi / làm mới / thu hồi token OAuth — cần cho cả hai loại tài khoản

Tùy tính năng

Chỉ cần khi bạn dùng tính năng tương ứng

mcp-proxy.anthropic.com: Lưu lượng connector MCP từ claude.ai
downloads.claude.ai: Tải file thực thi của plugin, trình cài đặt gốc và tự động cập nhật
bridge.claudeusercontent.com: Cầu WebSocket của tiện ích Claude in Chrome
*.frame.claudeusercontent.com: Đọc nội dung Artifact
registry.npmjs.org: Cài plugin, MCP server khởi chạy bằng npx, cài chính Claude Code bằng npm/bun
storage.googleapis.com: Metadata plugin và số lượt cài, tải lên Artifact
code.claude.com: Tra cứu tài liệu tích hợp (agent claude-code-guide và WebFetch được duyệt trước)
raw.githubusercontent.com: Nguồn changelog cho /release-notes
formulae.brew.sh: Kiểm tra cập nhật khi cài bằng Homebrew; các cách cài khác không bao giờ gọi tới nó

Endpoint telemetry (tùy chọn)

Chỉ gửi khi dùng Anthropic API trực tiếp; không bao giờ gửi qua nhà cung cấp bên thứ ba

http-intake.logs.us5.datadoghq.com: Sự kiện telemetry vận hành
browser-intake-us5-datadoghq.com: Báo cáo lỗi vận hành (được kiểm soát bởi cờ triển khai phía server)

Biến môi trường để tắt lưu lượng không thiết yếu

Đơn giản hơn việc cho phép các host telemetry, nếu bạn muốn tắt chúng từ gốc

CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1: Tắt cả hai endpoint Datadog cùng lúc
DISABLE_TELEMETRY=1: Tắt telemetry
DO_NOT_TRACK=1: Chuẩn do-not-track chung; tác dụng như trên
DISABLE_ERROR_REPORTING=1: Tắt báo cáo lỗi

Quy tắc IP / ASN dự phòng

Quy tắc CIDR / ASN chỉ là phương án dự phòng cuối cùng và cần được đối chiếu định kỳ với thay đổi BGP/ASN. Đừng coi các ví dụ bên dưới là danh sách đầy đủ vĩnh viễn:

IP-CIDR, 160.79.104.0/21

IP-CIDR6, 2607:6bc0::/32

IP-ASN, AS399358

Chi tiết bổ sung: AS399358 hiện đang quảng bá 160.79.104.0/23 và hai dải IPv6 /48 (2607:6bc0::/48, 2607:6bc0:11::/48) — hẹp hơn các khối đã đăng ký. Cấu hình theo các khối đã đăng ký thì rộng hơn và an toàn hơn. Cũng lưu ý rằng các host telemetry và cài đặt (Datadog, npm, GitHub, Google Cloud) nằm ngoài dải riêng của Anthropic, nên IP dự phòng không thể bao phủ chúng; chỉ quy tắc theo tên miền mới làm được.

Đồng bộ giờ hệ thống

Yêu cầu mạng chính thức của riêng Claude Code không bao gồm NTP. Tuy nhiên, đồng hồ hệ thống lệch nhiều có thể khiến các luồng TLS, đăng nhập OAuth và ký yêu cầu bị lỗi. Nên giữ giờ hệ thống chính xác; có nên đưa lưu lượng NTP qua proxy hay không tùy vào môi trường mạng và khả năng của client.

Một nhận định phổ biến cần đính chính: một số hướng dẫn nói Claude Code xác định múi giờ của bạn qua NTP nên bạn phải cho NTP đi qua proxy. Điều này là bất khả thi ở tầng giao thức — NTP chỉ mang dấu thời gian UTC và không có trường múi giờ; múi giờ đến từ cài đặt hệ điều hành của bạn. NTP cũng không xuất hiện ở đâu trong yêu cầu mạng chính thức. Thứ thực sự làm rò rỉ múi giờ của bạn là các API Intl / getTimezoneOffset của trình duyệt và hệ thống, và việc cho NTP qua proxy không giúp gì được cho chuyện đó.

Ví dụ định dạng cấu hình (danh sách tên miền)

# 核心 (DOMAIN-SUFFIX 已覆盖各自全部子域名)
DOMAIN-SUFFIX,anthropic.com,Claude
DOMAIN-SUFFIX,claude.ai,Claude
DOMAIN-SUFFIX,claude.com,Claude
DOMAIN-SUFFIX,clau.de,Claude
DOMAIN-SUFFIX,claudeusercontent.com,Claude

# 安装 / 插件 / 文档
DOMAIN-SUFFIX,registry.npmjs.org,Claude
DOMAIN,storage.googleapis.com,Claude
DOMAIN,raw.githubusercontent.com,Claude
DOMAIN,formulae.brew.sh,Claude

# 遥测 (可用环境变量关闭; 注意是独立域名, 后缀匹配抓不到)
DOMAIN,http-intake.logs.us5.datadoghq.com,Claude
DOMAIN,browser-intake-us5-datadoghq.com,Claude

# IP / ASN 兜底
IP-CIDR,160.79.104.0/21,Claude,no-resolve
IP-CIDR6,2607:6bc0::/32,Claude,no-resolve
IP-ASN,399358,Claude,no-resolve

Lưu ý: DOMAIN-SUFFIX đã bao phủ mọi tên miền con nên không cần liệt kê lại. Hai host intake của Datadog là các tên miền đăng ký được riêng biệt và cần khớp chính xác. Thêm no-resolve vào các quy tắc CIDR/ASN để bỏ qua tra cứu ngược và giảm chi phí đối sánh.

Xác minh

Sau khi cấu hình, hãy dùng các công cụ này để xác minh không có lưu lượng nào bị lọt ra ngoài: