Haru VPS MCP

Ein Mini-Tunnel zu einem Mini-Computer für ChatGPT.

Haru VPS MCP ist ein kleiner selbstgehosteter MCP-Gateway für einen isolierten VPS-Arbeitsbereich. Es bietet einem MCP-Client einen begrenzten Satz an Dateisystem- und Shell-Fähigkeiten, ohne den Host selbst zum Arbeitsbereich zu machen.

MCP client / authenticated tunnel
              |
              v
      Haru MCP gateway
        127.0.0.1:8765
              |
       +------+------+
       |             |
       v             v
 filesystem MCP   shell MCP
  loopback only   loopback only
       |             |
       +------v------+
       isolated workspace

Grenze zwischen öffentlich und privat

Dieses Repository ist eine saubere öffentliche Referenzdistribution, kein Spiegel der privaten Produktionsumgebung des Autors. Es schließt absichtlich private Domains, Maschinenidentität, Anmeldeinformationen, Vorfallbeweise, Produktionsbereitstellungsstatus, angrenzende persönliche Dienste und besitzerspezifische Arbeitsbereichsinhalte aus.

Die wiederverwendbare Abgrenzung ist einfach: Der Gateway und die delegierten Arbeitsbereich-Backends bleiben auf Loopback, während jeder Fernzugriff durch einen separat authentifizierten Tunnel oder Reverse-Proxy bereitgestellt wird.

Related MCP server: FieldCure MCP Filesystem Server

Sicherheitsmodell

Haru MCP legt leistungsstarke Dateisystem- und Shell-Werkzeuge des Arbeitsbereichs offen, daher ist der Endpunkt als privilegiert zu behandeln.

• Der Gateway lehnt Nicht-Loopback-Bind-Adressen ab.

• Arbeitsbereich-Backend-URLs müssen explizite Loopback-HTTP-Endpunkte sein und dürfen keine Anmeldeinformationen enthalten.

• Optionale öffentliche Host/Origin-Allowlisten dienen nur der Transportsicherung. Sie sind keine Authentifizierung.

• deploy/Caddyfile.example fällt im Fehlerfall geschlossen aus (HTTP 403). Ersetzen Sie sie nur, wenn Ihre Ingress-Ebene Clients tatsächlich authentifiziert.

• Machen Sie den Gateway oder die Arbeitsbereich-Backends nicht anonym im Internet zugänglich.

• Halten Sie den delegierten Arbeitsbereich wegwerfbar und getrennt von Host-Konfiguration, Anmeldeinformationen, Home-Verzeichnissen und Produktionsdaten.

Diese erste öffentliche Extraktion ist eine Referenzimplementierung. Sie bewahrt konservative Grenzen aus dem privaten Projekt, ist aber keine Behauptung, dass beliebige Bereitstellungen ohne Überprüfung durch den Betreiber produktionssicher sind.

Installation und Test

Python 3.10+ ist erforderlich.

python -m venv .venv
. .venv/bin/activate
pip install -e '.[test]'
pytest

Sie können auch den repository-lokalen Verifikations-Einstiegspunkt ausführen:

./deploy/verify.sh

Konfiguration

Beginnen Sie mit der Beispiel-Umgebungsdatei:

cp deploy/haru-mcp.env.example .env

Standardmäßig lauscht der Gateway unter 127.0.0.1:8765/mcp und delegiert an zwei Loopback-MCP-Backend-Endpunkte auf Port 8766. Diese Backends sollten selbst auf ein dediziertes Arbeitsbereichs-Root beschränkt sein.

Wenn ein authentifizierter Reverse-Proxy oder Tunnel einen öffentlichen Hostnamen an den Loopback-Gateway weiterleitet, setzen Sie beide:

HARU_MCP_PUBLIC_HOST=mcp.example.com
HARU_MCP_PUBLIC_ORIGIN=https://mcp.example.com

Diese Einstellungen erweitern nur die Host/Origin-Validierung. Sie fügen keine Authentifizierung hinzu.

Ausführen

haru-mcp

Die öffentliche Tool-Oberfläche ist bewusst klein gehalten: Gateway-Health, Auflisten/Lesen/Schreiben/Bearbeiten/Verschieben/stat von Arbeitsbereichsverzeichnissen sowie isolierte Shell-Ausführung, die an Loopback-MCP-Backends delegiert wird.

Bereitstellungsbeispiele

deploy/haru-mcp.service.example zeigt eine gehärtete systemd-Dienststruktur. deploy/Caddyfile.example ist absichtlich fail-closed, bis der Betreiber ein authentifiziertes Ingress-Design bereitstellt.

Lizenz

Für dieses öffentliche Repository wurde noch keine Lizenz ausgewählt. Die Lizenzierung ist eine Folgemaßnahme des Eigentümers vor einer breiteren Veröffentlichung.