公司内网 MCP 不想暴露公网？Secure MCP Tunnel 的反向出站方案[!NOTE]Secure MCP Tunnel 的核心不是给内网服务“打洞”，而是让内网中的 tunnel-client 主动发起出站 HTTPS，领取待处理的 MCP 请求，再把结果沿同一路径返回。它可以避免为 MCP 服务开放公网入站端口，但不会自动替代权限治理、密钥轮换、代理与 CA 配置、MCP 侧认证或业务审计。本文给出企业内网的部署与验收方案；命令中的 ID、域名和路径都是占位符，不包含可用凭据，也不声称已在你的网络中实际执行。📚继续系统学习：如果你正把 Codex、MCP、内网工具和权限审计接成一条可运维链路，专栏中的连接、治理与验证篇可以作为后续搭建清单。 👉 查看并订阅「Codex 全速入门」专栏一、先看懂“反向出站”到底改变了什么1. 传统公网接入的压力一个私有 MCP 服务常常位于：公司办公网；数据中心；/