50 lines
2.8 KiB
Markdown
50 lines
2.8 KiB
Markdown
# MCP-Control-Plane — BF
|
|
|
|
Zentrale, versionierte MCP-Server für BF. Übersicht aller MCPs: **[INVENTORY.md](INVENTORY.md)**.
|
|
Ziel: ein nachvollziehbarer Satz MCPs (gegen "1000 MCP-Leichen"), zentral als Container, FQDN-adressiert.
|
|
|
|
## MikroMCP (MikroTik ap1/ap2)
|
|
|
|
REST-primär + guarded SSH; RouterOS-7-nativ; Safety: dry-run, `plan_changes`/`apply_plan`/`rollback_change`,
|
|
Confirmation-Tokens, RBAC, Audit-Log. Image: `ghcr.io/alikarami/mikromcp:latest`.
|
|
|
|
### Zwei Betriebsarten
|
|
- **A — lokal stdio (schnell, kein Netz-Exposure):** läuft dort wo Claude läuft, RBAC = built-in superadmin,
|
|
keine Tokens/Secret nötig. Gut für sofortige WLAN-Arbeit. Trotzdem in INVENTORY eintragen.
|
|
- **B — Docker HTTP auf Mac mini (zentral, Ziel):** `docker-compose.yml`. Erfordert Confirmation-Secret +
|
|
Bearer-Token-Identität. Endpoint später hinter NPM (FQDN+Auth).
|
|
|
|
### RouterOS-User (beide APs) — NICHT admin verwenden
|
|
```
|
|
/user group add name=mcp policy=read,write,api,rest-api,test,ssh,sniff,!ftp,!policy,!password
|
|
/user add name=mcp-api group=mcp password=<stark>
|
|
```
|
|
(`ftp` nur falls `upload_file` gebraucht wird; `sniff` nur für `torch`. SSH-Dienst muss laufen für
|
|
ping/traceroute/torch/run_command — REST blockt diese Befehle generell.)
|
|
|
|
### B deployen (Mac mini 10.40.41.167)
|
|
```
|
|
openssl rand -hex 32 # -> MIKROMCP_CONFIRMATION_SECRET
|
|
# identities.yaml aus identities.example.yaml bauen (Token: openssl rand -hex 32, dann bcrypt-Hash):
|
|
node -e "const b=require('bcryptjs');b.hash(process.argv[1],12).then(console.log)" <raw-token>
|
|
|
|
scp -r mcp/mikromcp 10.40.41.167:/opt/docker/mikromcp
|
|
ssh 10.40.41.167 'cd /opt/docker/mikromcp && cp .env.example .env' # .env + config/identities.yaml füllen
|
|
ssh 10.40.41.167 'cd /opt/docker/mikromcp && docker compose up -d && docker compose logs --tail=50'
|
|
```
|
|
Smoke-Test: `curl -s http://10.40.41.167:3000/health` bzw. MCP-Initialize mit Bearer-Token.
|
|
|
|
### In Claude Code einhängen
|
|
- **A (stdio):** `claude mcp add mikromcp -- npx -y mikromcp` + ENV (`MIKROMCP_CONFIG_PATH`, `ROUTER_AP1_USER/PASS`, …).
|
|
- **B (http):** `claude mcp add --transport http mikromcp http://10.40.41.167:3000` (Header `Authorization: Bearer <raw-token>`).
|
|
Nach FQDN: URL auf `https://<fqdn>` umstellen.
|
|
|
|
## omada-mcp (TP-Link ES208G)
|
|
Wartet auf: Omada-Controller (≥6.1.x, `../../omada/docker-compose.yml`, Ziel pve-LXC 10.40.41.126) **up** +
|
|
ES208G **adoptiert**. Env: `OMADA_BASE_URL`, `OMADA_CLIENT_ID/SECRET`, `OMADA_OMADAC_ID`, `OMADA_SITE_ID`,
|
|
`OMADA_STRICT_SSL=false` (self-signed). Tools: Switch-Ports/VLAN/Firewall CRUD. Details: INVENTORY.md.
|
|
|
|
## Sicherheit (wichtig)
|
|
Ein MikroMCP/omada-mcp-HTTP-Endpoint kann Infrastruktur administrieren. Daher: nur auf LAN-IP binden,
|
|
dedizierte Nicht-admin-User, Confirmation-Secret gesetzt, Audit-Log an, später NPM+Auth+TLS+FQDN davor.
|