Network Operator MCP

network-operator-mcp ermöglicht einem Agenten, Netzwerkgeräte-Verwaltungsschnittstellen zu bedienen, während die Geräteanmeldedaten im MCP-Server verbleiben.

Der Server unterstützt die folgenden Geräte-Backends:

• ssh-terminal: eine persistente SSH-PTY für interaktive Netzwerk-CLIs.

• ssh-exec: eine standardmäßige SSH-Exec-Anfrage pro Tool-Aufruf.

• http-tplink-switch: TP-Link-Switch-WebUI-APIs.

• http-zte-be7200: ZTE-BE7200-Pro+-WebUI-APIs.

• http-mellanox-onyx: Mellanox-Onyx-WebUI-APIs.

Der Server interpretiert keine Befehle, Eingabeaufforderungen oder API-Antworten. Er überträgt Anfragen und Antworten zwischen dem Agenten und dem ausgewählten Gerät.

Getestete Geräte

Related MCP server: SSH MCP Server

Konfiguration

backends:
  ssh-terminal:
    connect_timeout_seconds: 15
    default_quiet_timeout_ms: 1000
    default_deadline_ms: 15000
    default_response_limit_bytes: 200000
    max_sessions: 10
    session_idle_ttl_seconds: 600
    max_session_lifetime_seconds: 3600
  ssh-exec:
    connect_timeout_seconds: 15
    default_command_timeout_seconds: 60
  http:
    connect_timeout_seconds: 10
    default_request_timeout_seconds: 30
    max_response_bytes: 2000000

accounts:
  ssh-operator:
    username: netadmin
    password: plaintext-password

  web-operator:
    username: webadmin
    password: plaintext-password

  zte-password:
    password: plaintext-password

devices:
  example-huawei:
    type: ssh-terminal
    host: 192.0.2.10
    account: ssh-operator

  example-tplink:
    type: http-tplink-switch
    host: 192.0.2.20
    account: web-operator

  example-zte:
    type: http-zte-be7200
    host: 192.0.2.30
    account: zte-password

  example-onyx:
    type: http-mellanox-onyx
    host: 192.0.2.40
    account: web-operator
    verify_tls: false

Konten können von mehreren Geräten gemeinsam genutzt werden. SSH-Konten können password, einen Inline-private_key und optional eine private_key_passphrase verwenden. Das ZTE-Backend akzeptiert ein reines Passwortkonto, da dieses Produkt einen festen WebUI-Benutzernamen hat.

HTTP verwendet standardmäßig Port 80, außer für http-mellanox-onyx, das standardmäßig HTTPS-Port 443 verwendet. Setzen Sie scheme, port und verify_tls auf einem Gerät, wenn dessen Einrichtung von diesen Standardwerten abweicht. Die vollständige Platzhalterkonfiguration finden Sie in config/devices.example.yaml.

MCP-Tools

HTTP-Anfragen

http_request akzeptiert ein konfiguriertes device, eine HTTP-method und einen gerätebezogenen path. Optionale Argumente sind query, headers, body, body_base64, form und timeout_seconds. Geben Sie höchstens eines von body, body_base64 und form an.

Der MCP-Server verwaltet Anmeldedaten, Cookies und Geräte-Tokens. Aufrufer können keine Header mit Anmeldedaten bereitstellen, und sensible Authentifizierungs-Header werden nicht zurückgegeben. Weiterleitungen von Agentenanfragen werden an den Agenten zurückgegeben, anstatt automatisch verfolgt zu werden. Textantworten werden direkt zurückgegeben; binäre Antworten verwenden base64 und setzen body_encoding auf base64.

Beispiel:

{
  "device": "example-zte",
  "method": "POST",
  "path": "/?_type=vueData&_tag=vuecfg_data",
  "form": {
    "IF_ACTION": "Get"
  }
}

SSH-Terminals

Jedes Terminal verfügt über einen Hintergrundleser, der Geräteausgaben an ein temporäres Transkript anhängt. Übernehmen Sie initial_output.next_cursor in den ersten exchange und führen Sie dann jeden zurückgegebenen next_cursor weiter. Ein ruhiges Timeout bedeutet nur, dass in diesem Intervall keine neuen Bytes angekommen sind; es beweist nicht, dass ein Befehl abgeschlossen wurde.

Ein Neustart des MCP-Servers schließt zwangsläufig aktive SSH-Verbindungen und verwirft deren Transkripte. Rufen Sie open_session erneut für das Gerät auf und fahren Sie mit dem neuen anfänglichen Cursor fort.

Zustand

SSH-Terminals sind nach Gerätenamen verschlüsselt und gehören keiner MCP-Client-Sitzung. Die Tools legen keine Terminal-Sitzungskennung offen und akzeptieren keine. Streamable-HTTP-Transport ist ebenfalls zustandslos, sodass ein Neustart des MCP-Servers den Client nicht mit einer veralteten MCP-Sitzungskennung zurücklässt.

Server ausführen

Konfiguration validieren:

network-operator-mcp --config config/devices.local.yaml validate-config

Über stdio ausführen:

network-operator-mcp --config config/devices.local.yaml serve

Mit Streamable HTTP ausführen:

network-operator-mcp --config config/devices.local.yaml serve \
  --transport streamable-http --host 127.0.0.1 --port 8000

Der Server unterstützt auch den sse-Transport.

Sicherheitshinweise

• Schützen Sie Konfigurationsdateien, da sie Klartext-Anmeldedaten enthalten.

• SSH-Server-Hostschlüssel werden nicht überprüft.

• Lassen Sie die TLS-Überprüfung aktiviert, wenn ein Gerät über ein vertrauenswürdiges Zertifikat verfügt. Verwenden Sie verify_tls: false nur für Geräte, deren WebUI-Zertifikat nicht validiert werden kann.

• Setzen Sie den MCP-Transport nur für vertrauenswürdige Agenten und Benutzer ein. HTTP-API-Aufrufe können die Gerätekonfiguration ändern.