文章 · 2026-10-29

Anthropic / Claude 的 IP 地址段：防火墙白名单怎么配才不出错

企业网络里要放行 Claude，绕不开两个问题：放行哪些地址，以及入站和出站是不是一回事。Anthropic 在官方文档里给了固定地址段，并且明确写了「这些地址的变更会提前通知」。下面按官方原文整理，2026 年 10 月 29 日核对。

官方公布的三个网段

注意 /21 是 /23 的超集：出站范围比入站宽。所以把出站地址当成入站白名单来用，能用但没必要；反过来只放行 /23，MCP 那类工具调用就会失败。

五个已经停用的地址，要删掉

官方明确列了这批地址「不再使用」，如果以前加过，应当从防火墙规则里移除：

留着这些 /32 不会造成故障，但会让白名单越来越难审计：分不清哪条还有用、哪条早就作废。

用 AWS 版的话，入站不是这套

官方特别注明：Claude Platform on AWS 的入站地址是 aws-external-anthropic.{region}.api.aws，解析到 AWS 自己的 IP 段，要去 AWS 的 IP ranges 文档取。但出站工具调用（MCP、网页搜索、网页抓取）仍然从这个 160.79.104.0/21 发出。

也就是：AWS 版要配两套来源，一套 AWS、一套 Anthropic。只配 AWS 那套，入站通了，工具调用还是不通。

该按域名还是按 IP 放行

• 能按域名就按域名。Claude Code、claude.ai、API 走的都是域名，按域名放行不会因为地址变化而断。
• 必须按 IP 时，只加官方公布的那几个网段，不要用解析结果去抓当天的具体地址——api.anthropic.com 前面有 CDN，解析出来的是一个随时会变的地。
• 不要放行整个 ASN。Anthropic 的地址和别的云服务混在同一批大网段里，按 ASN 放行等于把无关服务一起放进来。

怎么验证配对了

配完别只看「能 ping 通」，要看到真正的连接：

• 入站：在受限网络里跑一次 API 请求或 claude 登录，确认没有被防火墙拦掉。
• 出站：如果你用了 MCP 连接器或网页搜索，触发一次工具调用，看你的服务器有没有收到来自 160.79.104.0/21 的请求。
• 看连接而不是看配置：ss -tn、防火墙日志、抓包任选其一，确认地址确实落在上面这三个网段里。

地址会变吗

官方原话是「These addresses will not change without notice」——变更会提前通知。但这不等于永远不变：每隔一段时间回官方文档核对一次，比一次性配完就忘更可靠。

IP 放行了，还是连不上？

防火墙只解决「通不通」。「连得上但被要求验证」「登录后立刻被限制」是另一类问题：

• 出口国家不在支持名单 —— 见 Claude 支持哪些国家和地区
• 出口类型、IP 信誉、环境不一致 —— 见 除了 IP，还要看这 6 个网络信号
• 账号已经被限制，需要申诉 —— 见 账号被停用怎么办

不确定卡在哪一层，打开 Claude 专项检测 先看出口和泄露，判定口径见 判定方法。

参考资料

• Anthropic Docs — IP addresses（2026-10-29 核对）
• AWS — IP address ranges