NetOps Field Notes

netops-field-notes-mcp

ネットワーク機器で手作業で確認していることを、コーディングエージェントが呼び出せるツールにしました。2つの設定スナップショット間で何が変わり、どの程度重要なのか、設定がCIS／PCIの基本要件を満たしているか、ポートが802.1X認証を通過できない理由、設定内に隠れている証明書とその有効期限、デバイスの種類と隣接する機器、OPNsenseのルール変更が実際に何をするのか、そして変更案を安全に適用できるかを確認できます。

読み取り専用です。決定的な結果が得られます。モデル呼び出しは行わないため、2人のエンジニアが同じ回答を得られます。アカウントもテレメトリーも不要で、ディスクから読み取ることもありません。設定とログはテキストとして渡します。

インストール

バージョンを固定してください。

Claude Code

claude mcp add netops-field-notes -- uvx --from "git+https://github.com/labaccessnow/[email protected]" netops-field-notes-mcp

Claude Desktop、Cursor、またはJSON設定に対応したクライアント

{
  "mcpServers": {
    "netops-field-notes": {
      "command": "uvx",
      "args": ["--from", "git+https://github.com/labaccessnow/[email protected]", "netops-field-notes-mcp"]
    }
  }
}

Docker

{
  "mcpServers": {
    "netops-field-notes": {
      "command": "docker",
      "args": ["run", "-i", "--rm", "ghcr.io/labaccessnow/netops-field-notes-mcp:0.1.0"]
    }
  }
}

uvxを使う場合はPython 3.10以降が必要です（uvでインストールできます）。公式MCPレジストリにもio.github.labaccessnow/netops-field-notes-mcpとして登録されています。

ツール

ツール	確認できること
explain_config_diff	2つのスナップショット間の変更点をセクションごとに分類し、リスク評価を添えて平易な英語で説明します — EdgeOS、RouterOS、OPNsense、EdgeSwitch、Cisco IOS形式
check_config_compliance	この設定が10項目のCIS／PCIチェックを通過するか、また各不適合を解消するための1行の修正方法を確認します
diagnose_dot1x	RADIUSログ、スイッチポート設定、サプリカントログのいずれか、または複数から、ポートが認証されない理由を確認します
lookup_ise_failure_code	ISEのステップコード12514（または11036、22056…）の意味と、解決方法を確認します
find_certs_in_config	設定に埋め込まれた証明書と、期限切れ間近、弱い、または自己署名の証明書を確認します
check_tls_endpoint	公開ホストが実際に提示する証明書について、同じ項目を確認します
extract_device_facts	設定からホスト名、役割、アドレス、サブネット、VLANを抽出します
infer_topology	これらのデバイスのうち、どれが同じセグメントを共有しているかをMermaid図で表示します
explain_firewall_change	OPNsenseのconfig.xml変更を、ルールごとにリスクの根拠とシャドーイングに関する注意点を添えて説明します
preflight_change	この変更案が安全かどうかを、リスク、コンプライアンスの後退、影響範囲、ゲート判定とともに確認します
sanitize_config	設定をどこかに渡す前に、シークレットを除去し、アドレスを一貫した形に置き換えます
latest_field_note	今週、ネットワーク分野で何が起きたかを確認します

diagnose_dot1x

最も時間を節約できるツールです。手元にあるものを貼り付けてください。3種類の入力のどれでも対応し、ログを言い換えるのではなく、失敗の原因を特定します。

ROOT CAUSE
Two defects: (1) dot1x failed on an EAP mismatch (EAP-TLS vs EAP-PEAP); (2) MAB then
Accepted with NO dynamic VLAN, so the endpoint landed on VLAN 10 instead of VLAN 30.

RECOMMENDED FIX
1. Align EAP: either enroll a client cert + set the supplicant to EAP-TLS, OR allow EAP-PEAP
   in the ISE auth policy for this port. Make both ends match.
2. Fix the ISE authorization profile "MAB_Guest": add Tunnel-Type=VLAN(13),
   Tunnel-Medium-Type=802(6), Tunnel-Private-Group-ID=30.
3. On the access port add: `authentication event fail action authorize vlan 30` as a local backstop.

ポート1700と3799のどちらにCoAが送信されたか、未知のCAによる失敗とクライアント証明書の不足、そしてIOSが拒否するpermit any any eq 443のdACLを区別できます。

find_certs_in_config

ウェブ監視ツールはポートを監視します。ネットワーク機器の証明書は設定内にあります。Ciscoのcrypto pkiチェーン、RouterOSのエクスポート、OPNsenseの<crt>ブロックなどです。誰にも監視されないまま有効期限が切れてしまうことがあります。このツールはテキストから証明書を読み取り、エンドポイントのチェックと同じルールを適用します。有効期限の区分、2048未満のRSA、MD5／SHA-1署名、自己署名のリーフ証明書（使用箇所に応じて評価）、有効期限まで90日を切ったCA証明書を確認します。

できないこと

• アカウント、サインアップ、キーは不要です。テレメトリーもありません。
• ディスクから読み取ることはありません。入力はすべて、渡されたテキストです。
• デバイスへの書き込みは行いません。preflight_changeは変更によって起きることを示します。ロールバック手順も渡しますが、適用はご自身で行ってください。
• ソケットを開くツールは2つあります。check_tls_endpointは指定したホストに接続します（プライベートアドレスと予約済みアドレスは拒否するため、自分のネットワークに対して使うことはできません）。もう1つのlatest_field_noteは公開RSSフィードに接続します。
• コンプライアンスチェックは、1つの設定に対する正規表現で行います。明らかな問題は検出しますが、ベンチマークの実行ではありません。

このツールの由来

これらはDriftWatchとその関連ツールの読み取り専用のコア部分です。関連ツールは同じルールを複数の機器に対して毎晩実行し、履歴を保存して、その結果をレポートにまとめます。ここでは、貼り付けた内容を対象に一度だけ実行するバージョンを利用できます。これは意図的な設計です。役立つのはルールの部分であり、それだけでも機能します。

ライセンス

MIT。ネットワーク、セキュリティ、自動化のエンジニアであるJames Sonが作成し、公開前に稼働中のマルチベンダーラボでテストしました。修正の提案を歓迎します。特にISEコード表に関するものは大歓迎です。