Netmon MCP

将 AI 助手连接到 Netmon 设备。

Netmon 在设备本身内置了 MCP 服务器。此仓库保存客户端侧桥接：一个在您本地机器上运行的小型 Node 进程，通过 stdio 与 Claude Desktop 通信，并通过 HTTPS 将每条 JSON-RPC 消息转发到您的 Netmon 的 /mcp 端点。

连接后，AI 助手可以直接调用 Netmon 的工具来读取您的设备、接口、日志、流记录、警报和 Windows 代理数据——拥有与任何操作员相同的登录权限和权限，以及相同的标签限制。

• 产品概述： https://netmon.com/netmon-ai-assistants/

• 设置指南： https://netmon.com/netmon-7-user-guide/api-and-integrations/

• API 参考： https://netmon.com/api-reference/authentication/

为什么需要本地桥接

Claude 从 Anthropic 的云基础设施连接远程 MCP 服务器，而不是从您的机器。位于私有网络中的 Netmon 设备无法从那里访问。

桥接作为一个本地进程运行，因此它可以访问您局域网上的设备。这就是此仓库存在的全部原因——这也意味着支持的客户端是 Claude Desktop 和 Claude Code，而不是浏览器中的 claude.ai。

如果您的设备面向互联网并拥有公共信任的证书，您可以跳过桥接，让任何 MCP 客户端直接指向该端点。请参阅下面的 安装 — 任何 MCP 客户端。

Related MCP server: domotz-mcp

要求

• 启用了 MCP 服务器的 Netmon 设备（Netmon 7.0.20 或更新版本）。

• 拥有 API 权限的用户账户，以及携带您希望助手拥有的 mcp:* 作用域的个人访问令牌。

• 用于 .mcpb 安装的 Claude Desktop。Claude Desktop 自带 Node 运行时，因此无需其他组件。在 Claude Desktop 外部运行桥接需要 Node 18 或更新版本。

安装 — Claude Desktop

1. 从 Releases 下载 netmon-mcpd-<version>.mcpb。相同的捆绑包会随您的设备一起提供——设置 → 系统 → 可下载 → Claude Desktop 扩展。

2. 在 Claude Desktop 中，打开 设置 → 扩展 → 高级设置 → 扩展开发者 → 安装扩展… 并选择该文件。

3. 填写扩展要求的两个设置：

   设置	值
   Netmon URL	https://<your-netmon>/mcp — 完整端点，包括 /mcp
   API 令牌	个人访问令牌（见下文）。如果您省略 Bearer 前缀，系统会自动为您添加。

4. 重启扩展。询问 Claude 类似 "列出宕机的设备" 来确认其正常工作。

生成令牌

在 Netmon 中，转到 设置 → 用户，点击您用户上的钥匙图标，创建一个个人访问令牌。仅选择助手所需的作用域——令牌之后无法扩展，并且可以随时从同一屏幕撤销。

账户必须拥有 API 权限。没有该权限，令牌生成和 OAuth 同意都会被拒绝。

安装 — 任何 MCP 客户端

设备在 https://<your-netmon>/mcp 提供 Streamable HTTP（POST 用于 JSON-RPC，GET 用于服务器到客户端的 SSE 流，DELETE 用于结束会话）。

支持 OAuth 2.1 的客户端会自动发现授权服务器：端点会以 401 状态码和 WWW-Authenticate: Bearer resource_metadata="…" 质询来响应未认证的请求，该质询指向 RFC 9728 受保护资源元数据，以及 RFC 8414 授权服务器元数据和 /auth/register 的动态客户端注册。您通过浏览器在您自己的 Netmon 上登录，并在同意页面上批准作用域。

不支持 OAuth 的客户端直接传递令牌：

{
  "mcpServers": {
    "netmon": {
      "url": "https://netmon.example.com/mcp",
      "headers": {
        "Authorization": "Bearer <your-token>"
      }
    }
  }
}

Claude Code 和自签名证书

大多数设备使用自签名证书。直接的 type: http 条目会因证书问题而失败——OAuth 引导过程会拒绝该证书，并且不会考虑 NODE_EXTRA_CA_CERTS。请改用桥接，它自己处理证书：

{
  "mcpServers": {
    "netmon": {
      "command": "node",
      "args": ["/path/to/netmon-mcpd/server/index.js"],
      "env": {
        "NETMON_URL": "https://netmon.example.com/mcp",
        "NETMON_TOKEN": "<your-token>"
      }
    }
  }
}

工具

36 个只读工具，每个都包装了一个 Netmon API 端点，并由一个 OAuth 作用域控制，在调用运行前会进行检查。

总共存在八个作用域——以上六个加上 mcp:reports 和 mcp:system，它们映射到各自的权限，但目前还没有工具。

安全模型

所有内容都保留在您的设备上。 桥接只连接到您配置的一个 URL，没有其他。没有遥测，没有供应商端点，没有第三方服务介入。Netmon Services 不会收到任何信息。

只读。 每个工具都是读取操作。Netmon 的代理写入路径——终止进程、启动或停止 Windows 服务、删除文件、运行 PowerShell——在 MCP 层被永久排除，无论底层令牌的权限如何。助手无法更改您的监控配置、确认警报或对受管主机执行操作。

作用域限制。 每个工具声明其所需的 OAuth 作用域，并在工具主体运行前进行检查。仅授予 mcp:logs 的令牌无法调用 device_list。

属于您，且不会扩大。 令牌以生成它的用户身份运行。标签限制适用：限制为 branch-offices 标签的操作员将得到一个同样限制在同一设备范围内的助手。权限模型与 Web 界面和所有其他 API 客户端已经使用的相同。

可撤销。 从 设置 → 用户 撤销令牌，助手将立即失去访问权限。令牌也可以在生成时进行窄范围限制，而不是事后撤销。

传输安全

首次连接时，桥接会捕获设备的 TLS 证书并将其存储在 ~/.netmon-mcpd/<hash-of-url>.pem，然后针对该固定证书验证后续的每次连接。这是首次使用信任：它保护的是首次连接之后的拦截，而不是首次连接期间。请从您信任的网络中进行首次连接。

如果您更换了设备的证书，请删除旧的固定证书（rm ~/.netmon-mcpd/*.pem），否则桥接会将新证书与旧证书进行比对并拒绝连接。

桥接要求 https://。纯 HTTP 会在启动时被拒绝。

故障排除

桥接将诊断日志写入 ~/.netmon-mcpd/wrapper.log。

构建

npm install
./build.sh            # or: ./build.sh 1.0.0 to stamp a version

输出位于 build/netmon-mcpd-<version>.mcpb。

隐私政策

完整政策：https://netmon.com/privacy-policy/

收集的内容。 此桥接不收集任何数据。它不持有任何账户、分析数据，也没有回调到 Netmon Services。两个文件会在本地写入，均在 ~/.netmon-mcpd/ 下：您配置的设备的固定证书，以及连接事件的诊断日志。您的 Netmon URL 和令牌由您提供，并且仅保存在扩展自身的配置中。

数据的使用和存储方式。 查询和结果在您的 MCP 客户端和设备之间传递。桥接转发消息，不保留任何内容。所有监控数据都保留在设备的数据库中，在您控制之下，在您的建筑物内。

第三方共享。 无。桥接仅联系一个主机——您配置的设备 URL。它不会向 Netmon Services 或任何其他方发送任何信息。

请注意，您的 MCP 客户端是一个独立的产品，有其自己的政策。当您向助手提问时，它收到的工具结果由该客户端的供应商根据其条款处理。Netmon 不控制该环节，这就是为什么令牌的作用域设置得窄一些是值得的。

保留。 本地文件会一直保留，直到您删除它们：移除扩展，或者 rm -rf ~/.netmon-mcpd。在 设置 → 用户 中撤销令牌会立即终止访问。监控数据本身的保留由您在设备上配置。

联系方式。 support@netmon.com

支持

• 文档：https://netmon.com/documentation/

• 桥接问题：GitHub Issues

• 其他所有问题：support@netmon.com

许可证