Tailscale MCPサーバー

プライベートかつ最小権限のインターフェースを通じてTailscaleを操作するための、BunベースのModel Context Protocolサーバーです。

デフォルトのトランスポートはローカルMCPクライアント用の stdio です。オプションのHTTPトランスポートはデフォルトで 127.0.0.1 にバインドされ、Tailscale Serveやその他のテールネット専用プロキシを使用してプライベートに公開するように設計されています。

インストール

bun install
bun run build

Related MCP server: ConnectWise API Gateway MCP Server

ローカルMCPの使用方法

{
  "mcpServers": {
    "tailscale": {
      "command": "bunx",
      "args": ["@hexsleeves/tailscale-mcp-server"],
      "env": {
        "TAILSCALE_OAUTH_CLIENT_ID": "your-client-id",
        "TAILSCALE_OAUTH_CLIENT_SECRET": "your-client-secret",
        "TAILSCALE_TAILNET": "-"
      }
    }
  }
}

OAuthクライアントは、スコープ付きアクセスと短期間のトークンを使用するため、自動化に適しています。APIキーは互換性のために引き続きサポートされています：

TAILSCALE_API_KEY=tskey-... bun run src/index.ts

HTTPモード

HTTPモードではベアラートークンが必要であり、デフォルトではlocalhostまたはテールネットのホストヘッダーのみを受け入れます。

export MCP_TRANSPORT=http
export MCP_HTTP_BEARER_TOKEN="$(openssl rand -base64 32)"
export TAILSCALE_OAUTH_CLIENT_ID="your-client-id"
export TAILSCALE_OAUTH_CLIENT_SECRET="your-client-secret"

bun run src/index.ts --http --port 3000 --host 127.0.0.1

Tailscale Serveを使用してプライベートに公開します：

tailscale serve --bg 443 localhost:3000

通常のMCP操作にFunnelを使用しないでください。Funnelはサービスを公開状態にするため、別途脅威レビューが必要です。

設定

リスクレベル：

• read: 読み取り専用のツールとリソース。

• write: ACL/DNS/ルート更新などの書き込み操作。

• admin: 削除、認証解除、接続、切断、認証キーの変更など、破壊的またはホストに影響を与えるアクション。

ツール

安定したツール名：

• list_devices

• device_action

• manage_routes

• get_network_status

• connect_network

• disconnect_network

• ping_peer

• get_version

• get_tailnet_info

• manage_acl

• manage_dns

• manage_keys

• manage_policy_file

• manage_file_sharing

• manage_exit_nodes

• manage_webhooks

• manage_device_tags

リソース

• tailscale://tailnet/summary

• tailscale://devices

• tailscale://devices/{deviceId}

• tailscale://acl/current

プロンプト

• diagnose_tailnet_connectivity

• review_acl_change

開発

bun install
bun test
bun run typecheck
bun run lint
bun run build

完全なローカルゲート：

bun run qa

Docker

docker build -t tailscale-mcp-server .
docker run --rm \
  -e MCP_HTTP_BEARER_TOKEN="$MCP_HTTP_BEARER_TOKEN" \
  -e TAILSCALE_OAUTH_CLIENT_ID="$TAILSCALE_OAUTH_CLIENT_ID" \
  -e TAILSCALE_OAUTH_CLIENT_SECRET="$TAILSCALE_OAUTH_CLIENT_SECRET" \
  -p 127.0.0.1:3000:3000 \
  tailscale-mcp-server

公開ポートはlocalhostにバインドしたままにし、Tailscale Serveを使用して他のデバイスに公開してください。

プライベートなTailscale Serveエンドポイントの背後でMCPサーバーを実行するサイドカーデプロイメントについては、deploy/README.md を参照してください。