Netra

Name: Netra
Author: zyvorai

ローカル

github.comクラウド・インフラ51 週間前に更新

リポジトリ公式サイト

Netra について

Netra は、Linux と Kubernetes の運用者向けの eBPF ネットワーク監視・緊急制御システムです。カーネルレベルの通信診断と期限付き拒否ルールを備え、期限後は自動で監視に戻り、CNI の変更も不要です。

主な機能

01カーネルレベルのドロップ原因特定
02TCP パスと輻輳の診断
03フィルター付きライブキャプチャ
04秒単位のメトリクスと異常検知
05事前確認付き期限付き拒否ルール
06変更を制限できる190個のMCPツール

活用シーン

01通信の消失箇所と原因の特定
02ワークロードのネットワーク遅延調査
03検出事象に関連するパケットの取得
04通信を一時遮断して自動で解除

MCP 対応

Netra は AI エージェント向けに、stdio 経由の190個のツールを備えた MCP サーバーを提供します。130個は読み取り専用で、60個の変更ツールは NETRA_MCP_ALLOW_MUTATIONS による有効化が必要です。

設定

ローカルサーバーの設定はどのクライアントでも共通です。コピーしてクライアントの MCP 設定ファイルに貼り付けてください。

mcp.json · 共通設定

{
  "mcpServers": {
    "zyvorai-netra": {
      "command": "docker",
      "args": [
        "run",
        "-i",
        "--rm",
        "-e",
        "NETRA_URL",
        "-e",
        "NETRA_API_KEY",
        "-e",
        "NETRA_MCP_ALLOW_MUTATIONS",
        "-e",
        "NETRA_MCP_ACTOR",
        "ghcr.io/zyvorai/netra-mcp:0.32.0"
      ],
      "env": {
        "NETRA_URL": "<NETRA_URL>",
        "NETRA_API_KEY": "<NETRA_API_KEY>",
        "NETRA_MCP_ALLOW_MUTATIONS": "<NETRA_MCP_ALLOW_MUTATIONS>",
        "NETRA_MCP_ACTOR": "<NETRA_MCP_ACTOR>"
      }
    }
  }
}

起動コマンド

docker run -i --rm -e NETRA_URL -e NETRA_API_KEY -e NETRA_MCP_ALLOW_MUTATIONS -e NETRA_MCP_ACTOR ghcr.io/zyvorai/netra-mcp:0.32.0

設定が必要な環境変数

NETRA_URLBase URL of the Netra controller API, e.g. https://netra.example:30870.

NETRA_API_KEYシークレットBearer token for the controller API.

NETRA_MCP_ALLOW_MUTATIONSSet to "true" to expose the opt-in mutating tools. Off by default; mutations remain plan-token and lease bounded.

NETRA_MCP_ACTORActor name recorded in the Netra audit trail for calls made through this server.

ローカルサーバーにはマシン上の実行環境（Node.js 18 以上など）が必要です。設定ファイルの場所はクライアントごとに異なります。

パッケージ

ocighcr.io/zyvorai/netra-mcp:0.32.0stdio

ツール

ツール一覧はまだ取得されていません

ローカルサーバーのツールはマシン上で起動して初めて取得できます。メンテナーはまだツール一覧を提供していません。

詳細

Netra

すべてのパケットの経路を把握し、問題のあるパケットを封じ込め、ルールは自動で解除。

Linux/Kubernetes向けのスタンドアロンeBPFネットワーク可観測性と緊急ネットワーク制御。Cilium + Hubbleによる拡張機能もオプションで利用できます。 カーネルによるパケット破棄の原因特定、経路と輻輳の診断、ライブパケットキャプチャ、および時間制限付きの拒否ルールを備え、任意のCNI上で、ルールが自動的に解除されて監視状態に戻ります。

監視優先 · 期限付きで自動解除 · CNI不要 · ペイロードを収集しない · 190個のMCPツール

📖 ドキュメント全文を読む — クイックスタート、アーキテクチャ、セキュリティモデル、製品ツアーをご覧いただけます。

新機能

CHANGELOG.mdより（0.28.2から0.30.0まで）：


1秒ごとのメトリクス (0.30.0)	ホスト、ネットワーク、cgroup、プロセスグループ、eBPF、ワークロードのRED系列を毎秒取得します。異常検知、メトリクスアラート、アプリコレクター、エクスポーターを備え、グラフの急増箇所から、その背後にあるフローやドロップへ移動できます。ドキュメント →
ノードの隔離 (0.30.0)	ノードごとの送信専用許可フィルターを、遮断対象をカウントするシャドウモードまたは強制モードで利用できます。スタンドアロンのTCXプログラムとして動作します。ドキュメント →
セキュリティレビュー (0.30.0)	DNSクエリータイプ、有効期限・ロールバック・オプションのHTTPS更新に対応したバージョン管理された脅威フィード、拒否条件の重複レビュー、対象ワークロードを正確に特定したインシデントの相関分析を利用できます。ドキュメント →
現行カーネルでのL7メタデータ (0.30.0)	Linux 6.8以降でTLS SNI、HTTP Host、DNS名が再び読み込まれるようになりました（以前はベリファイアに拒否されていました）。Linux 5.17以降では`bpf_loop`を使用します。ドキュメント →
Netlink変更記録機能	すべてのルーティングテーブルにわたり、ノード上のリンク、アドレス、ルート、近隣エントリーのどれが、いつ変更されたかを記録します。ドキュメント →
Netlinkの検出結果とアラート	デフォルトルートの削除、ゲートウェイへの到達不能、アップリンクの停止、MTUの変更を、記録された変更内容から検出します。
変更を行ったプロセス	`rtnetlink_rcv_msg`への`fentry`により、変更を伴う各Netlinkリクエストを送信元プロセスに関連付けます。
BPFアタッチメントのインベントリー	NICやボンドの再作成後などに自身のフックが気付かれずに外れた場合、Netraがそれを検知します。ドキュメント →
統一されたUXの指針	ダッシュボードとドキュメントサイトは共通のデザイン指針に沿っています。デフォルトはApple風のライトテーマで、ワンクリックでダークテーマに切り替えられます。
安定したコントローラー証明書	`tls.existingSecret`で`kubernetes.io/tls` Secretを指定し、クライアントがコントローラー証明書をピン留めできるようになりました。

Netra を選ぶ理由

こんな状況で…	Netra が提供するもの…
トラフィックが消えたのに、どこに行ったのか誰にも分からない	カーネルのドロップ原因の特定：接続、理由、ドロップしたカーネル関数
今すぐ対処する必要があるが、適用するのは怖い	ライブトラフィックに対して事前にプレビューでき、リース期限が切れると自動で元に戻る拒否ルール
CNI が Cilium ではない、または変更できない	どの CNI でも動作する cgroup v2 フック。カーネルモジュールもアプリの変更も不要
根拠のない「ネットワークが遅い」	TCP パス診断と輻輳マップ。Linux ネットワークスタックの各レイヤーを、最も深刻な検出結果に応じて色分けします
グラフに急上昇が見られたが、理由を知る必要がある	秒単位のメトリクスと異常検出。急上昇箇所から、その時間帯のフロー、ドロップ理由、キャプチャをすべて参照できます
あるノードのパケットを今すぐ取得したい	フィルターと時間範囲を指定したライブキャプチャ。Wireshark のようなレイヤー別デコードで、検出結果からワンクリックで表示できます
AI エージェントに、システムを壊さず調査させたい	190 個のツールを備えた MCP サーバー。変更操作は `NETRA_MCP_ALLOW_MUTATIONS` で制御します

Netra に Cilium は不要です。ノードエージェントは /sys/fs/bpf/netra 以下で、独自のプログラムとマップを管理します。Cilium/Hubble が存在する場合、Netra は CiliumNetworkPolicy を管理し、Hubble フローを表示できますが、どちらの連携もオプトインです。

主な機能 — 監視、診断、封じ込め、連携

Netra と Cilium + Hubble の比較

Netra と Cilium + Hubble の比較：eBPF による可視性とキルスイッチ。CNI はそのまま

	Netra	Cilium + Hubble
概要	CNI の隣で動作する、可観測性と緊急時の制御機能	データパスに Hubble の可観測性を組み込んだ CNI
導入方法	コントローラーとノードエージェントの DaemonSet を Helm でインストール。CNI の変更は不要	Cilium がクラスターの CNI になります
カーネルフック	cgroup skb、connect/sendmsg、sockops。`kfree_skb`、TCX、XDP はオプション	Cilium 独自の eBPF データパス
適用モデル	リース期限が切れるか、コントローラーが状態を失うと、監視状態に戻るリース付き拒否ルール	ネットワークポリシーは削除されるまで有効
ドロップ診断	接続ごとのカーネルのドロップ理由とドロップした関数、および Drop Explain	Cilium データパスからの Hubble フロー判定結果とドロップ理由
通常の Linux ホスト	同じエージェントとフック	Cilium が管理するネットワークを前提に構築
併用	`CiliumNetworkPolicy` の作成と Hubble Relay のフローにオプションで対応	—
Cilium + Hubble を選ぶ場合		ポリシー適用機能と Hubble の可観測性が組み込まれたフル機能の CNI が必要で、それを CNI として採用できる場合

Netra は Cilium が所有する BPF マップを変更したり、上書きしてピン留めしたりすることはないため、両者を同じクラスターで併用できます。

実際の動作を見る

概要、Firewall ページの統合ルールテーブルと NetPol v2 の許可リスト、そして実行中の KubeVirt VM に接続された、ブラウザー内の実際の VNC コンソールです。モックアップではなく、稼働中のラボ環境で撮影しています。

Netra のライブデモ — 概要、Firewall/NetPol v2、ブラウザー内 VNC コンソール

Netra ダッシュボード — 概要

概要ページ。 その他の画面は、監視、診断、封じ込めをご覧ください。

全体の仕組み

Netra の仕組み — カーネルフック、ピン留めされたマップ、ノードエージェント、コントローラー、ユーザー

                        Browser / netractl
                               |
                               v
                    +---------------------+
                    |      netrad        |
                    | API + UI + state    |
                    +----------+----------+
                               |
                 desired config| node reports
                               v
       +------------------------------------------------+
       |          netra-agent on every Linux node      |
       |                                                |
       | cgroup skb + socket hooks       optional TCX   |
       |          |                         optional XDP |
       |          +------ Netra maps/ring buffer ------+
       |                 /sys/fs/bpf/netra             |
       +------------------------------------------------+

netrad はデフォルトで :30870 で HTTPS を提供します。フックの仕組み、可視性の境界、オプションの Cilium/Hubble 連携については、docs/architecture.md · スタンドアロン eBPF をご覧ください。

クイックスタート

make install                              # netractl → /usr/local/bin (or PREFIX=$HOME/.local)
netractl install --namespace netra-system # Helm install: controller + node agent DaemonSet
netractl status

次に https://<node-ip>:30870 を開いてサインインします。ダッシュボードはログイン画面の後ろにあります。サインインをご覧ください（ナビゲーションバーとログイン画面には Zyvor のロゴが表示されます）。

サインイン

cgroup v2 と bpffs を備えた Linux が必要です。実用上のベースラインは Linux 5.8 以降（TCX は 6.6 以降）です。まず netra-doctor を実行してください。詳しい手順、Helm の値、Cilium／Hubble、CLI の例については、**インストールガイド**をご覧ください。

監視

ポッドと所有者の帰属情報、TCP の健全性、DNS、TLS SNI、HTTP Host のメタデータ、動作ベースライン、ドリフトを含むフローを確認できます。Cilium が存在する場合は、Hubble のライブフローも表示されます。機能 →

Hubble のライブフロー

フローストリームの詳細

診断

TCP パス診断では、ワークロードごとの接続レイテンシとトランスポートの負荷に加え、NAT されたフローも把握できる、エッジで観測されたハンドシェイクおよび RTT のヒストグラムを測定します。パス → · エッジインテリジェンス →

TCP パス診断 — 負荷、接続レイテンシ、エッジ TCP インテリジェンス

輻輳マップでは、Linux ネットワークスタックの各レイヤーを、クラスター全体で最も深刻な検出結果に応じて色分けします。ワンクリックで、問題が発生したノードのキャプチャに移動できます。カーネル診断 →

輻輳マップ — クラスター全体を重大度で色分け

パケットキャプチャでは、フィルターと時間範囲を指定したキャプチャをライブでストリーミングし、プロトコルごとの色分け、Wireshark 形式のレイヤー別デコード、16 進ダンプを表示します。オプトインの自動キャプチャでは、重大な検出結果が発生した際に PCAP を保存します。キャプチャ →

キャプチャのライブビュー — ポッド／VM の帰属情報付きで色分けされたターミナルフィード

ライブビューの行を展開した、Wireshark 形式のパケット詳細

輻輳マップの検出結果から、問題が発生したノードのライブデコード済み色分けキャプチャへ移動できます。

Netra のライブデモ — 輻輳マップの検出結果からライブパケットキャプチャへ

ドロップ説明では、カーネルの理由とポリシーのコンテキストをもとに、「なぜドロップされたのか？」に答えます。ドロップ診断 → · ドロップ情報 →

ドロップ説明

その他：DNS、ICMP、動作、レートの分析情報。

モニタリング

**毎秒メトリクスを、設定不要で取得。**各ノードからホスト、ネットワークスタック、conntrack、cgroup、プロセスグループ、eBPF データパス、ワークロードごとの RED 系列がコントローラーにストリーミングされます。データは 1 秒間隔で 1 時間、1 分間隔で 2 週間、1 時間間隔で 1 年間保持されます。メトリクスページでは、各コンテキストをライブでグラフ表示し、各グラフに異常を示すリボンを表示します。メトリクス →

すべての次元での異常検出（教師なし k-means、Go 標準ライブラリ）に加え、ドラッグして指定した任意の時間範囲で「ここで何が変わったか」を順位付けします。異常 →
Netdata 形式のルールとヒステリシスを備えたメトリクスアラートを提供します。40 種類以上が組み込み済み（CPU、メモリ、ディスク、インターフェース、TCP、conntrack、ワークロード RED、eBPF ドロップ）で、既存の Slack、Webhook、PagerDuty のチャンネルを通じて送信できます。アラート →
すべてのグラフの裏付けとなる証拠：スパイクから、同じ時間帯のフロー、ドロップ理由、TCP／DNS／HTTP のボード、キャプチャへ直接移動できます。メトリクスとパケットを一か所で確認できます。
nginx、Apache、HAProxy、Redis、memcached、Envoy、CoreDNS、etcd、および任意の Prometheus エンドポイントに対応するアプリコレクターを提供し、オプションで自動検出も利用できます。アプリ →
Prometheus remote write、OTLP、Graphite へのエクスポートに対応し、クラスターをまたいだ読み取り専用のフリート集約も利用できます。

コレクターは読み取り専用です。プロセスグループの情報にはカーネルの comm のみを使用し（argv や環境変数は使用しません）、アラートが強制適用に影響を及ぼすことはありません。

封じ込め

IP、CIDR、ポート、DNS 名、TLS SNI、UID またはプロセスを指定して拒否し、名前空間、Pod、所有者またはラベルの範囲に適用します。まず影響範囲をプレビューしてください。ポリシーの適用には、引き続きプラントークンとリスク確認が必要です。ファイアウォールのページ →

ファイアウォールダッシュボード — 統合ルール、NetPol v2 の許可リスト／デフォルト拒否

ポリシーの作成

ポリシーのドライラン／事前確認

Cilium が有効な場合、Pod と VM は同じプラン → レシート → 適用の手順で、ワンクリックでロックダウン／ロック解除できます。

ワンクリックでロックダウン／ロック解除できる Pod のインベントリ

安全性を重視した設計

リース期間で制限された適用 — 監視、リース期間中の適用、自動的な監視への復帰

保証事項	意味
監視優先	監視中にルールを準備できます。適用するまでは何もドロップされません
リース期間中の適用	リースが期限切れになった場合、エージェントがコントローラーの状態を更新できない場合、コントローラーが再起動した場合、または HA のリーダーシップが変更された場合は、監視に戻ります
ペイロードなし	アプリケーションのペイロード、argv/cmdline、Secret の内容は取得しません。オプトイン方式のサンプリングセンサーはカウントのみを保持します
自動化の制限	MCP の変更操作には `NETRA_MCP_ALLOW_MUTATIONS` が引き続き必要です。AI エンドポイントは読み取り専用です
Cilium に安全	Cilium が所有する BPF マップを変更したり、その上にマップを固定したりすることはありません

詳細：アーキテクチャと可視性の境界 · 安全性と永続化。

AI エージェントと運用担当者向け

netractl — 運用担当者向け CLI です。ドキュメント →
セキュリティレビュー — DNS QTYPE、TTL／ロールバックに対応したバージョン管理済み脅威フィードと任意の HTTPS 更新、単純な拒否述語の提案、正確なワークロードのセキュリティ相関分析を提供します。ドキュメント →
MCP サーバー — AI エージェント向けの stdio ツールを 190 個（読み取り 130 個、オプトイン方式の変更操作 60 個）提供します。ドキュメント →
- MCP Registry：io.github.zyvorai/netra（v0.30.1 から公開中）、イメージ ghcr.io/zyvorai/netra-mcp:0.32.0。インストールと使用方法 →
組み込みの AI ブリーフ — デフォルトではヒューリスティックを使用し、任意で OpenAI 互換の書き換えを利用できます。読み取り専用です。ドキュメント →
エクスポート — SIEM（CEF、syslog、JSONL、OTLP）、Prometheus（スクレイプとリモート書き込み）、Grafana、Loki、Graphite、Slack、Teams ChatOps に対応します。

Netra と PacketWolf のどちらを選ぶ？

Netra と PacketWolf は、異なる方向から同じ eBPF 領域をカバーします。両者は連携するパイプラインではなく、相互補完的な製品です。

Netra を選ぶ場合…	PacketWolf を選ぶ場合…
CNI に依存しない監視と、リース期間で制限された緊急キルスイッチが必要	Cilium がすでに正式な CNI として使われている
プラットフォーム全体を導入せずに Path／Drop／Congestion を診断したい	AutoPolicy／healer／operator のフルスタックが必要

ルール：docs/packetwolf.md · スイート内での位置付け。

ドキュメント一覧

確認したいこと	読むドキュメント
Netra が監視・制御するすべての項目を見る	機能 · 機能カタログ
診断について理解する	診断の概要
ノードとワークロードを秒単位で監視する	メトリクス · メトリクスアラート · 異常検知 · アプリコレクター
フックとアーキテクチャについて理解する	アーキテクチャ · スタンドアロン eBPF
インストールと設定を行う	インストールガイド · Helm／マニフェスト · ホストの準備状況
運用する	netractl · 高可用性
コードを見る	リポジトリ構成 · CI
購入者の視点で評価する	購入者向けガイド · パンフレットと PDF · リソース

成熟度

Netra の最新リリースは 0.32.0 です（CHANGELOG.md）。リリース済みの監視機能とリース付き制御機能は GA です。以下の表では、デフォルトで動作する機能と、プライバシーまたは安全性のためにオプトインのままになっている機能を示します（アーキテクチャ）。

領域	ステータス
cgroup skb ingress／egress、connect／sendmsg、sockops フック	GA（デフォルト）
`kfree_skb` のドロップ理由、TCX、XDP	GA（オプションでアタッチ）、選択したインターフェイスで動作
強制適用	GA — デフォルトでは監視。リース付きの強制適用が終了すると監視に戻ります
TLS SNI、HTTP Host、DNS 名とクエリタイプ	GA（デフォルト、`NETRA_L7=auto`）、Linux 5.17 以降。古いカーネルではドロップされます
TLS フィンガープリント（JA3／JA4）	GA（デフォルト、`agent.tlsfp: auto`）
DNS 異常検知／スキャン検知	GA（デフォルト）。監視のみ
秒単位のメトリクス、異常、メトリクスアラート	GA（デフォルト、`NETRA_METRICS_ENABLED`）。アラートは通知のみ
重大なドロップ発生時の自動キャプチャ	GA（デフォルト）。継続時間／クールダウン／PPS に上限あり。`alerting.autoCapture.enabled=false` で無効化
自動緩和（ボリューム型）	GA（デフォルト）。有効な強制適用リースがある場合のみ動作し、フェイルオープンします
ノードの隔離	GA — 読み込み済み（`agent.nodeIsolation: auto`）ですが、ノードごとのポリシーが設定されるまで動作しません。シャドウまたは強制適用（リース付き）
セキュリティレビュー、脅威フィードの履歴とロールバック	GA（読み取り専用）。HTTPS フィードの更新は `NETRA_INTEL_SOURCE_URL` が設定されている場合のみ
過去の拒否プレビュー（フロー履歴）	GA — ライブカウンターと、オプションの `--since`／flowlog ウィンドウ
サンプリングされた L7 センサーと TLS 平文センサー	オプトイン（プライバシー保護）、デフォルトではオフ
Cilium の `CiliumNetworkPolicy` と Hubble の統合	オプトイン（`cilium.enabled`、`hubble.enabled`）
MCP の変更を伴うツール	オプトイン（安全性、`NETRA_MCP_ALLOW_MUTATIONS`）

Zyvor スタックの一部

製品	Netra と連携する役割
Netra	あらゆる CNI で使える、スタンドアロンの eBPF ネットワーク可観測性とリース付き緊急制御
Paqtra	Cilium クラスターで Netra と連携：Hubble のフロートレース、ドロップの説明、ポリシープレビュー
Rivora	Netra と連携：XDP、Maglev、BGP を備えた CNI 非依存の eBPF L4 ロードバランサー
Zorvia	Netra と連携：KubeVirt VM プラットフォーム。Cilium を有効にすると、Netra の VM ページにライブフローとロックダウン機能を備えた KubeVirt VM が表示されます
netevd	ホスト上で Netra と連携：netlink と eBPF のネットワークイベントをフックスクリプトとポリシールーティングに渡します

→ zyvor.dev

ライセンス

Netra は Zyvor Production License v1.0（SPDX LicenseRef-Zyvor-Production-1.0、LICENSES/にも掲載）に基づき、ソースコードを入手できます。

評価、開発、テスト、研究、教育、本番環境以外のラボ、その他すべての本番環境以外での利用は無料です。
本番環境での利用には、年間エンタープライズサブスクリプションが必要です。プラン、サポートレベル、利用条件：docs/SUBSCRIPTION-MODEL.md · エンタープライズ向け料金 · 料金 · [email protected]。

コントリビューションについては、CONTRIBUTING.mdをご覧ください。脆弱性はSECURITY.mdに従って非公開で報告してください。

確認し、封じ込め、自動的に手放す

Markdown 対応

ログインしてコメント

基本情報

作者: zyvorai
バージョン: 0.32.0
トランスポート: stdio
掲載日: 2026年10月19日
最終更新: 1 週間前
公式 Registry: io.github.zyvorai/netra

問題を報告

MCP は初めてですか？

プロトコルの概要から最初のサーバーの導入まで、よくある疑問にまとめて答えます。

入門ガイドを読む

AI アプリケーションが外部のツールやデータソースに統一的な方法で接続するためのオープンなプロトコルです。クライアントはモデルとの対話を担い、MCP サーバーはツール・リソース・プロンプトテンプレートを提供します。標準メッセージでやり取りするため、1 つのサーバーを複数のクライアントで再利用できます。

Netra

Netra について

主な機能

活用シーン

MCP 対応

設定

ツール

詳細

Netra

すべてのパケットの経路を把握し、問題のあるパケットを封じ込め、ルールは自動で解除。

新機能

Netra を選ぶ理由

Netra と Cilium + Hubble の比較

実際の動作を見る

全体の仕組み

クイックスタート

監視

診断

モニタリング

封じ込め

安全性を重視した設計

AI エージェントと運用担当者向け

Netra と PacketWolf のどちらを選ぶ？

ドキュメント一覧

成熟度

Zyvor スタックの一部

ライセンス

確認し、封じ込め、自動的に手放す

コメント

MCP は初めてですか？

MCP（Model Context Protocol）とは？

MCP サーバーとクライアントの違いは？

ローカルとリモート、どちらを選ぶべき？

Claude や Cursor にサーバーを導入するには？

掲載プロジェクトは審査されていますか？「認証済み」とは？

自分のプロジェクトが掲載されています。どう申請できますか？