Control D MCP

Ein lokaler Server für das Model Context Protocol zur sicheren Verwaltung von Control D per Konversation.

Er kann Profile und Endpunkte überprüfen, kürzlich blockierte DNS-Abfragen diagnostizieren, ein Profil vorübergehend pausieren, Block-, Umgehungs- und Umleitungsregeln erstellen und Regeln löschen. Jede Änderung einer Live-Richtlinie erfordert confirm: true und wird anschließend durch eine Rücklese-Kontrolle überprüft.

Einrichtung

Erfordert Node.js 20 oder neuer und einen dedizierten Control-D-Schreib-Token. Beschränke den Token in Control D nach Möglichkeit auf vertrauenswürdige Quell-IP-Adressen.

npm install
npm run test

Lege den Token in ~/.config/controld-mcp.env ab (niemals in diesem Repository) und setze den Dateimodus auf 0600:

CONTROL_D_API_TOKEN=your-dedicated-write-token

Beispielkonfiguration für Codex:

[mcp_servers.controld]
command = "/absolute/path/to/node"
args = ["/absolute/path/to/controld-mcp/dist/index.js"]

Starte den MCP-Host nach dem Hinzufügen des Servers neu. Der MCP-Prozess kann ohne den Token starten, aber die Tools liefern einen Setup-Fehler, bis der Token vorhanden ist und der Host neu gestartet wurde.

Related MCP server: technitium-mcp-secure

Typischer Ablauf

1. „Zeige mir meine Control-D-Profile.“

2. „Ich habe gerade example.com aufgerufen. Was wurde in den letzten fünf Minuten blockiert?“

3. Prüfe die Zeitstempel der Abfragen und die Regel bzw. den Filter, die/darüber den jeweiligen Block ausgelöst hat.

4. „Erstelle eine temporäre Ausnahme für cdn.example.net auf Global für 30 Minuten.“

5. Der Assistent zeigt die exakte vorgeschlagene Änderung und bittet vor dem Aufruf des bestätigten Schreibwerkzeugs um Genehmigung.

Für das Routing: Liste zuerst die Proxy-Standorte auf und leite dann entweder exakte Domain-Regeln oder einen benannten Dienst mithilfe einer exakten Standort-ID um. Ein Dienst wie YouTube betrifft viele wechselnde Domains, daher ist set_service_policy in der Regel sicherer, als dessen Hostnamen manuell zu pflegen.

Sicherheitsdesign

• Kein generisches HTTP/API-Passthrough-Tool.

• API- und Analytics-Hosts sind auf Control D beschränkt.

• Tokens werden zur Laufzeit geladen und nie zurückgegeben oder protokolliert.

• Aktivitätsprotokoll-Anfragen sind auf 200 Einträge begrenzt und werden nie zwischengespeichert.

• Schreibvorgänge erfordern eine eindeutige Profilauflösung und confirm: true.

• Bevorzug exakte Domains gegenüber Wildcards. Prüfe die Ergebnisse, bevor du etwas freischaltest.

API-Stabilität

Control D weist darauf hin, dass its API unversioniert ist. Aktivitätsprotokoll und mehrere verwaltungsbezogene Vorgänge verwenden die aktuellen First-Party-Dashboard-Verträge, weil diese nicht in der öffentlichen API-Referenz enthalten sind. Siehe docs/api-verträge.md.

Danksagungen

Das Verhalten der Endpunkte wurde anhand des offiziellen Control-D-Dashboards und der Community-Integration Control D Manager Home Assistant abgeglichen. Dieses Projekt ist eine unabhängige Implementierung.

Lizenz

MIT