Netmon MCP

Verbinden Sie einen KI-Assistenten mit einer Netmon-Appliance.

Netmon liefert selbst einen MCP-Server auf der Appliance mit. Dieses Repository enthält die clientseitige Brücke: einen kleinen Node-Prozess, der auf Ihrem eigenen Rechner läuft, über stdio mit Claude Desktop spricht und jede JSON-RPC-Nachricht an den /mcp-Endpunkt Ihrer Netmon-Appliance per HTTPS weiterleitet.

Sobald die Verbindung steht, kann ein Assistent Ihre Geräte, Schnittstellen, Protokolle, Flow-Datensätze, Alarme und Windows-Agent-Daten auslesen, indem er Netmons Werkzeuge direkt aufruft – mit denselben Anmeldeinformationen und Berechtigungen wie jeder Operator und denselben Tag-Einschränkungen.

• Produktübersicht: https://netmon.com/netmon-ai-assistants/

• Setup-Anleitung: https://netmon.com/netmon-7-user-guide/api-and-integrations/

• API-Referenz: https://netmon.com/api-reference/authentication/

Warum eine lokale Brücke

Claude verbindet sich von der Cloud-Infrastruktur von Anthropic aus mit entfernten MCP-Servern, nicht von Ihrem Rechner aus. Eine Netmon-Appliance in einem privaten Netzwerk ist von dort aus nicht erreichbar.

Die Brücke läuft als lokaler Prozess, sodass sie die Appliance in Ihrem LAN erreichen kann. Das ist der einzige Grund, warum dieses Repository existiert – und es bedeutet, dass die unterstützten Clients Claude Desktop und Claude Code sind, nicht claude.ai im Browser.

Wenn Ihre Appliance über das Internet erreichbar ist und ein öffentlich vertrauenswürdiges Zertifikat verwendet, können Sie die Brücke überspringen und jeden MCP-Client direkt auf den Endpunkt verweisen. Siehe Installation – beliebiger MCP-Client weiter unten.

Related MCP server: domotz-mcp

Voraussetzungen

• Eine Netmon-Appliance mit aktiviertem MCP-Server (Netmon 7.0.20 oder neuer).

• Ein Benutzerkonto mit der API-Berechtigung und ein persönlicher Zugriffstoken mit den mcp:*-Bereichen, die der Assistent haben soll.

• Claude Desktop für die .mcpb-Installation. Claude Desktop stellt seine eigene Node-Laufzeitumgebung bereit, daher ist nichts weiter erforderlich. Wenn Sie die Brücke außerhalb von Claude Desktop ausführen, benötigen Sie Node 18 oder neuer.

Installation – Claude Desktop

1. Laden Sie netmon-mcpd-<version>.mcpb aus den Releases herunter. Das gleiche Paket wird mit Ihrer Appliance ausgeliefert – Einstellungen → System → Downloads → Claude Desktop Erweiterung.

2. Öffnen Sie in Claude Desktop Einstellungen → Erweiterungen → Erweiterte Einstellungen → Erweiterungsentwickler → Erweiterung installieren… und wählen Sie die Datei aus.

3. Füllen Sie die beiden Einstellungen aus, die die Erweiterung abfragt:

   Einstellung	Wert
   Netmon-URL	https://<Ihre-Netmon>/mcp – der vollständige Endpunkt, inklusive /mcp
   API-Token	ein persönlicher Zugriffstoken (siehe unten). Das Präfix Bearer wird für Sie hinzugefügt, falls Sie es weglassen.

4. Starten Sie die Erweiterung neu. Fragen Sie Claude etwas wie „Liste die Geräte auf, die ausgefallen sind“, um zu bestätigen, dass es funktioniert.

Token ausstellen

Gehen Sie in Netmon zu Einstellungen → Benutzer, klicken Sie auf das Schlüsselsymbol bei Ihrem Benutzer und erstellen Sie einen persönlichen Zugriffstoken. Wählen Sie nur die Bereiche aus, die der Assistent benötigt – der Token kann später nicht erweitert werden, und er kann jederzeit über denselben Bildschirm widerrufen werden.

Das Konto muss die API-Berechtigung besitzen. Ohne diese werden sowohl die Token-Ausstellung als auch die OAuth-Zustimmung verweigert.

Installation – beliebiger MCP-Client

Die Appliance bedient Streamable HTTP unter https://<Ihre-Netmon>/mcp (POST für JSON-RPC, GET für den Server-zu-Client-SSE-Stream, DELETE zum Beenden einer Sitzung).

Clients, die OAuth 2.1 unterstützen, erkennen den Autorisierungsserver selbständig: Der Endpunkt antwortet auf eine nicht authentifizierte Anfrage mit 401 und einer WWW-Authenticate: Bearer resource_metadata="…"-Challenge, die auf RFC-9728-Schutzressourcen-Metadaten verweist, zusammen mit RFC-8414-Autorisierungsserver-Metadaten und dynamischer Client-Registrierung unter /auth/register. Sie melden sich über Ihren Browser auf Ihrer eigenen Netmon an und genehmigen die Bereiche auf einer Zustimmungsseite.

Clients ohne OAuth-Unterstützung übergeben einen Token direkt:

{
  "mcpServers": {
    "netmon": {
      "url": "https://netmon.example.com/mcp",
      "headers": {
        "Authorization": "Bearer <your-token>"
      }
    }
  }
}

Claude Code und selbstsignierte Zertifikate

Die meisten Appliances verwenden ein selbstsigniertes Zertifikat. Ein direkter type: http-Eintrag schlägt bei einem solchen fehl – der OAuth-Bootstrap lehnt das Zertifikat ab und berücksichtigt NODE_EXTRA_CA_CERTS nicht. Verwenden Sie stattdessen die Brücke, die das Zertifikat selbst behandelt:

{
  "mcpServers": {
    "netmon": {
      "command": "node",
      "args": ["/path/to/netmon-mcpd/server/index.js"],
      "env": {
        "NETMON_URL": "https://netmon.example.com/mcp",
        "NETMON_TOKEN": "<your-token>"
      }
    }
  }
}

Werkzeuge

36 Lese-Werkzeuge, die jeweils einen Netmon-API-Endpunkt kapseln und durch einen OAuth-Bereich geschützt sind, der vor der Ausführung des Werkzeugs geprüft wird.

Insgesamt gibt es acht Bereiche – die sechs oben genannten sowie mcp:reports und mcp:system, die ihren Berechtigungen zugeordnet sind, aber noch keine Werkzeuge haben.

Sicherheitsmodell

Alles bleibt auf Ihrer Appliance. Die Brücke verbindet sich nur mit der einen von Ihnen konfigurierten URL und mit sonst nichts. Keine Telemetrie, kein Hersteller-Endpunkt, kein Dienst eines Drittanbieters befindet sich im Pfad. Netmon Services erhält nichts.

Nur Lesezugriff. Jedes Werkzeug ist ein Lesevorgang. Die Schreibpfade des Netmon-Agenten – Beenden eines Prozesses, Starten oder Stoppen eines Windows-Dienstes, Löschen einer Datei, Ausführen von PowerShell – sind auf der MCP-Ebene dauerhaft ausgeschlossen, unabhängig davon, was die Berechtigungen des zugrunde liegenden Tokens sonst erlauben würden. Ein Assistent kann Ihre Überwachungskonfiguration nicht ändern, einen Alarm nicht bestätigen und nicht auf einem verwalteten Host handeln.

Bereichsbezogen. Jedes Werkzeug deklariert den OAuth-Bereich, den es benötigt, und der Bereich wird geprüft, bevor der Werkzeugrumpf ausgeführt wird. Ein Token, dem nur mcp:logs gewährt wurde, kann device_list nicht aufrufen.

Ihr Eigentum, nicht weitergehend. Ein Token handelt im Namen des Benutzers, der ihn ausgestellt hat. Tag-Einschränkungen gelten: Ein Bediener, der auf das Tag branch-offices beschränkt ist, erhält einen Assistenten, der auf dieselben Geräte beschränkt ist. Das Berechtigungsmodell ist dasselbe, das bereits die Weboberfläche und jeden anderen API-Client regelt.

Widerrufbar. Widerrufen Sie einen Token unter Einstellungen → Benutzer, und der Assistent verliert sofort den Zugriff. Tokens können auch bei der Ausstellung eng gefasst werden, anstatt später widerrufen zu werden.

Transportsicherheit

Bei der ersten Verbindung erfasst die Brücke das TLS-Zertifikat der Appliance und speichert es unter ~/.netmon-mcpd/<Hash-der-URL>.pem. Danach überprüft sie jede spätere Verbindung anhand dieses gepinnten Zertifikats. Dies ist Trust-on-First-Use: Es schützt vor Abhören nach der ersten Verbindung, nicht während dieser. Stellen Sie die erste Verbindung aus einem vertrauenswürdigen Netzwerk her.

Wenn Sie das Zertifikat der Appliance ersetzen, löschen Sie den veralteten Pin (rm ~/.netmon-mcpd/*.pem), da die Brücke sonst das neue Zertifikat mit dem alten vergleicht und die Verbindung verweigert.

Die Brücke erfordert https://. Reines HTTP wird beim Start abgelehnt.

Fehlerbehebung

Die Brücke schreibt ein Diagnoseprotokoll nach ~/.netmon-mcpd/wrapper.log.

Bauen

npm install
./build.sh            # or: ./build.sh 1.0.0 to stamp a version

Die Ausgabe landet in build/netmon-mcpd-<version>.mcpb.

Datenschutzerklärung

Vollständige Richtlinie: https://netmon.com/privacy-policy/

Was wird erfasst. Diese Brücke erfasst keine Daten. Sie führt kein Konto, keine Analyse und keinen Rückruf an Netmon Services. Lokal werden zwei Dateien geschrieben, beide unter ~/.netmon-mcpd/: das gepinnte Zertifikat der von Ihnen konfigurierten Appliance und ein Diagnoseprotokoll der Verbindungsereignisse. Ihre Netmon-URL und Ihr Token werden von Ihnen bereitgestellt und nur in der eigenen Konfiguration der Erweiterung gespeichert.

Wie Daten verwendet und gespeichert werden. Abfragen und Ergebnisse werden zwischen Ihrem MCP-Client und Ihrer Appliance übertragen. Die Brücke leitet Nachrichten weiter und behält keine davon. Alle Überwachungsdaten verbleiben in der Datenbank der Appliance unter Ihrer Kontrolle in Ihrem Gebäude.

Weitergabe an Dritte. Keine. Die Brücke kontaktiert genau einen Host – die von Ihnen konfigurierte Appliance-URL. Sie sendet nichts an Netmon Services oder andere Parteien.

Beachten Sie, dass Ihr MCP-Client ein separates Produkt mit eigener Richtlinie ist. Wenn Sie einem Assistenten eine Frage stellen, werden die Werkzeugergebnisse, die er erhält, vom Anbieter dieses Clients gemäß dessen Bedingungen verarbeitet. Netmon hat keine Kontrolle über diesen Teil, weshalb es sinnvoll ist, die Bereiche eines Tokens eng zu fassen.

Aufbewahrung. Lokale Dateien bleiben bestehen, bis Sie sie löschen: Entfernen Sie die Erweiterung oder führen Sie rm -rf ~/.netmon-mcpd aus. Der Widerruf des Tokens in Einstellungen → Benutzer beendet den Zugriff sofort. Die Aufbewahrung der Überwachungsdaten selbst wird auf Ihrer Appliance von Ihnen konfiguriert.

Kontakt. support@netmon.com

Support

• Dokumentation: https://netmon.com/documentation/

• Probleme mit der Brücke: GitHub Issues

• Alles andere: support@netmon.com

Lizenz