mcpField
P
Paqtra

Paqtra

ローカル
github.comクラウド・インフラ31 週間前に更新
リポジトリ公式サイト

Paqtra について

Paqtraは、Kubernetes運用者向けの読み取り専用Cilium・Hubble可観測性プラットフォームです。フロー履歴やドロップ理由の調査、ポリシーのシミュレーションに対応し、`paqtra-mcp`からAIエージェントがクラスターを変更せずに調査できます。

主な機能

  1. 01検索可能なHubbleフロー履歴
  2. 02Ciliumのドロップ理由分析
  3. 03フローに対するポリシーシミュレーション
  4. 04Webダッシュボード、REST API、TUI
  5. 05読み取り専用のクラスター調査

活用シーン

  1. 01サービス間の通信障害の原因調査
  2. 02ドロップされたフローとCiliumの判定確認
  3. 03CiliumNetworkPolicy変更の事前検証
  4. 04AIエージェントからのPaqtra照会

MCP 対応

`paqtra-mcp`は、Paqtraデプロイを照会する39個のツールを備えた読み取り専用stdio MCPサーバーです。呼び出しには利用者自身のAPI認証情報を使うため、RBACと名前空間の制限が適用されます。

設定

ローカルサーバーの設定はどのクライアントでも共通です。コピーしてクライアントの MCP 設定ファイルに貼り付けてください。

mcp.json · 共通設定
{
  "mcpServers": {
    "zyvorai-paqtra": {
      "command": "docker",
      "args": [
        "run",
        "-i",
        "--rm",
        "-e",
        "PAQTRA_URL",
        "-e",
        "PAQTRA_TOKEN",
        "-e",
        "PAQTRA_USERNAME",
        "-e",
        "PAQTRA_PASSWORD",
        "ghcr.io/zyvorai/paqtra-mcp:2.2.3"
      ],
      "env": {
        "PAQTRA_URL": "<PAQTRA_URL>",
        "PAQTRA_TOKEN": "<PAQTRA_TOKEN>",
        "PAQTRA_USERNAME": "<PAQTRA_USERNAME>",
        "PAQTRA_PASSWORD": "<PAQTRA_PASSWORD>"
      }
    }
  }
}
起動コマンドdocker run -i --rm -e PAQTRA_URL -e PAQTRA_TOKEN -e PAQTRA_USERNAME -e PAQTRA_PASSWORD ghcr.io/zyvorai/paqtra-mcp:2.2.3
設定が必要な環境変数
PAQTRA_URLBase URL of the Paqtra API, for example https://paqtra.example:9191.
PAQTRA_TOKENシークレットJWT bearer token for the Paqtra API. Alternative to PAQTRA_USERNAME and PAQTRA_PASSWORD.
PAQTRA_USERNAMEPaqtra user to log in as when PAQTRA_TOKEN is not set. A read-only role is enough.
PAQTRA_PASSWORDシークレットPassword for PAQTRA_USERNAME.

ローカルサーバーにはマシン上の実行環境（Node.js 18 以上など）が必要です。設定ファイルの場所はクライアントごとに異なります。

パッケージ
ocighcr.io/zyvorai/paqtra-mcp:2.2.3

ツール

ツール一覧はまだ取得されていません

ローカルサーバーのツールはマシン上で起動して初めて取得できます。メンテナーはまだツール一覧を提供していません。

詳細

Paqtra

CI License: Apache 2.0 Rust Cilium Changelog Docs

デモを予約 30日間のPoC インストール

Paqtra — Kubernetes 向けの Cilium ネイティブなネットワーク可観測性と運用

A から B に到達できない理由は？Paqtra はすべてのフローを追跡し、Cilium の判定を表示します。

Kubernetes 向けの Cilium ネイティブなネットワーク可観測性と運用。 すべての Hubble フローを保存して検索でき、ドロップの理由を Cilium の理由コードで説明し、CiliumNetworkPolicy の変更を適用前にシミュレーションできます。強制適用は Cilium に任せます。

Web ダッシュボード · REST API · ターミナル TUI · 任意のフローで「拒否された理由」を確認 · データパスへのアクセスは読み取り専用 · 無料、Apache 2.0

📖 ドキュメント全文を読む：クイックスタート、アーキテクチャ、Cilium との境界、製品ツアーをご覧ください。

新着情報

毎秒更新のメトリクスプラットフォーム（未リリース）各エージェントはホスト、ネットワーク、ディスク、Pod、プロセスグループ、アプリのメトリクスを毎秒ストリーミングします。API はこれらを 1 s／1 min／1 h の各ティアで保持し、Hubble フロー、判定、ドロップ、HTTP、DNS の時系列データを追加します。また、ディメンションごとに異常を検出し、組み込みのメトリクスアラート 45 種類を実行して、Prometheus remote write、OTLP、Graphite にエクスポートします。docs/metrics.md
MCP サーバー（2.2.3）読み取り専用の stdio MCP サーバー paqtra-mcp は 39 個のツールを備え、AI エージェントが呼び出し元自身の認証情報を使って Paqtra のデプロイ環境をクエリできます。v2.2.3 リリースから ghcr.io/zyvorai/paqtra-mcp:2.2.3 として公開され、MCP Registry には io.github.zyvorai/paqtra として登録されています。docs/mcp-integration.md
cilium-cli のようにインストール（2.2.0）Helm チャートは paqtra バイナリにコンパイルされています。install、upgrade、status --wait、--with-cilium、前提条件の確認、doctor を利用できます。
署名付きリリース（2.2.0）sha256sums.txt、cosign のキーレス署名、SBOM、Homebrew formula を含む、静的リンクされた musl Linux および macOS バイナリを提供します。
ルール単位のポリシー編集（2.2.0）CiliumNetworkPolicy のルールを 1 つ追加、置換、削除できます。?dry_run=true、競合検出、監査ログに対応しています。
Cilium Insights（2.2.0）Cilium の機能、Hubble ノード、BGP、LB-IPAM、L2、Pod IP プール、CIDR グループ、Gateway API リソースを読み取り専用で表示します。
変更の影響分析と共有可能な調査（2.2.0）変更前後のフローを相関分析できます。また、期間限定の編集済み共有リンク付きの調査バンドルを作成できます。
拒否された理由は？（2.1.0）任意のドロップ済みフローから、ID、候補となる CNP／CCNP、ドロップ理由、許可ルールのドラフトを確認できます。
大規模なフローストアでも高速（2.2.1、2.2.2）読み取りによって取り込みがブロックされることはなく、すべての読み取りに期限が設定されています。直近の期間に対するクエリは時間インデックスを経由します。

全履歴：CHANGELOG.md。

Paqtra を選ぶ理由

こんなことが起きたとき…Paqtra が提供するもの…
リクエストが失敗したのに、原因が誰にもわからないあらゆるフローの経路説明と 拒否された理由。確信度タグ付きの根拠も確認できます
Cilium がパケットをドロップしたものの、その理由が埋もれているCilium の理由別のドロップ分析と、パケットごとの説明
問題を起こさずにポリシーを変更したいインデックス化されたフローに対して CiliumNetworkPolicy をシミュレーションしてから適用できます
必要なフローが、数分前に Hubble の表示から流れてしまったHubble の継続的な追従ストリームをローカルの SQLite フローストアに取り込み、時間範囲を指定してクエリできます
データパスに触れるネットワークツールは導入できないCilium に対して読み取り専用です。BPF マップへの書き込みも、プログラムのアタッチも行わず、2つ目の CNI にもなりません
Cilium のアドオンごとに個別のインストール手順が必要Helm チャートを組み込んだ paqtra install、paqtra status --wait、paqtra doctor

Paqtra は、まず観測することを重視しています。フローは Hubble から取得し、ノードローカルのエンリッチメントでは BPF マップの一覧を読み取る場合があります。適用は Cilium が担います。ポリシーの変更は CiliumNetworkPolicy（CNP）を通じて行い、Paqtra 独自のデータパスを通じて行うことはありません。

主な機能：Observe、Investigate、Secure、Operate

Paqtra と Hubble UI の比較

Paqtra と Hubble UI の比較：ライブフローから、対応に活用できる判定まで

Paqtra は Hubble に取って代わるものではありません。Hubble Relay を通じて Hubble のフローを読み取り、それを基盤に機能を構築します。

PaqtraHubble UI（Cilium に同梱）
フローのソースHubble Observer の gRPC 追従ストリームHubble Relay
フローの履歴ローカルの SQLite フローストア。時間範囲を指定してクエリできますHubble のメモリ内バッファーにあるライブフロー
サービスマップサービスマップと、観測されたトラフィックのトポロジー名前空間ごとのサービスマップ
「A から B に到達できないのはなぜ？」観測済み／推定／利用不可の根拠を示す経路説明フローを自分で調査します
ドロップCilium の理由別のドロップ分析、フローごとの拒否理由各フローの判定とドロップ理由
ポリシールールビルダー、YAML エディター、AutoPolicy、シミュレーション、CNP として適用ポリシーエディターではありません
インターフェースWeb ダッシュボード、REST API、ターミナル UI、CLIWeb UI（および hubble CLI）
次のような場合は Hubble UI を選択ライブフローとサービスマップだけで十分で、Cilium に同梱されているものだけを使いたい場合

実際の動作を見る

Paqtra のライブデモ

Cilium と Hubble を稼働させたラボクラスターで撮影しました。詳しくはドキュメントサイトのギャラリーをご覧ください。

Paqtra ダッシュボード — 概要

観測

判定ごとに色分けされたライブ Hubble フローと WebSocket ストリーミング、サービスマップ、実際のフローから構築した観測トラフィックのトポロジーを利用できます。Cilium の DNS 可視化が有効な場合は、実際の L7 DNS クエリ／rcode／レイテンシを表示します。L4 のみの場合に SERVFAIL を捏造することはありません。機能一覧 →

フローの横には、秒単位のノードメトリクスを表示します。CPU、メモリ、ディスク、インターフェース、TCP、conntrack、Pod の cgroup、プロセスグループ（comm のみ）、注釈付きアプリ（nginx、Redis、Envoy、CoreDNS、etcd、その他の Prometheus エンドポイント）に対応します。ライブキャンバスチャート、ディメンションごとの異常検知、「ここで何が変わったか」の相関分析、通知は行いますがポリシーは適用しない Netdata 形式のメトリクスアラートも利用できます。paqtra metrics … では、ターミナルから同じ機能を利用できます。メトリクス → · アラート → · 異常検知 → · アプリ →

判定ごとに色分けされた Hubble フロー

観測フローから作成したサービスマップ

観測トラフィックのトポロジー

調査する

「A から B に接続できないのはなぜですか？」と尋ねると、観測済み、推定、利用不可の証拠ラベル付きで回答が得られます。ドロップされたフローで なぜ拒否されたのか？ をクリックしてください。調査 → · 根本原因 →

経路の調査 — A から B に接続できないのはなぜ？

Cilium の理由別ドロップ分析

診断

ダッシュボードには、bpftool を利用した実際のカーネル eBPF データビューも含まれています。コネクショントラッキングテーブル、ポリシーマップ、IP キャッシュ、LB マップ、ドロップ分析を確認できます。すべて読み取り専用です。eBPF 統合 →

eBPF マップとプログラムの一覧（読み取り専用）

セキュリティを確保する

ビジュアルルールビルダー、YAML エディター、ML を活用した AutoPolicy、証拠に基づくシミュレーターを備え、すべて Kubernetes API を通じて CiliumNetworkPolicy として適用します。適用を強制するのは Cilium です。AutoPolicy → · シミュレーター →

ポリシー

さらに、コンプライアンス監査（CIS、NIST、SOC 2）、異常検知、カオスエンジニアリング、カナリアデプロイ、マルチクラスター表示も含まれています。Paqtra のすべての機能 →

MCP

paqtra-mcp は、実行中の Paqtra デプロイメントを AI エージェント（Claude Desktop、Hermes Agent、任意の MCP クライアント）が読み取れるようにする、stdio の Model Context Protocol サーバーです。クラスターに対してすべて読み取り専用の 39 個のツールを公開します。ポリシーの適用、編集、削除、カオス操作、ヒーラーによる修正、クラスター同期、フローストアの消去は行いません。2 つの調査ツールは API に証拠バンドルを保存するだけで、それ以外の操作は行いません。すべての呼び出しには独自の API 認証情報が使われるため、RBAC と名前空間のスコープが適用されます。

  • レジストリ名：io.github.zyvorai/paqtra（v2.2.3 リリースから公開）
  • イメージ：ghcr.io/zyvorai/paqtra-mcp:2.2.3
  • 設定：PAQTRA_URL に加え、PAQTRA_TOKEN または PAQTRA_USERNAME / PAQTRA_PASSWORD を設定します。ビューワーロールのアカウントを使用してください。

セットアップ、ツールの範囲、プロトコルについては、docs/mcp-integration.md を参照してください。

全体の仕組み

Hubble から入力し、回答を出力。判断するのは引き続き Cilium

コンポーネントポート役割
API（ghcr.io/zyvorai/paqtra-api）9191Rust + Axum REST API：Hubble からフローストアへの取り込み、調査、ドロップ、ポリシー、JWT 認証
UI（ghcr.io/zyvorai/paqtra-ui）8443React ダッシュボード。デフォルトで TLS 経由で配信
ノードエージェント（ghcr.io/zyvorai/paqtra）9192すべてのノード上の DaemonSet：ヘルスチェック、読み取り専用のマップとプログラムの一覧
paqtra CLI—インストール、アップグレード、ステータス、doctor、ui、hubble enable。Helm チャートを内蔵

ポートは chart/values.yaml の Helm チャートのデフォルト値です。アーキテクチャの詳細は、docs/architecture.md · docs/web-architecture.md を参照してください。

Paqtra が決して行わないこと

Paqtra は監視し、Cilium が判断する — 読み取るものと、決して行わないこと

AGENTS.md に記載され、レビューによって徹底される厳格な境界：

  • Cilium の BPF マップへの書き込みや、cil_* プログラムへのピン留めは決して行いません。
  • Cilium（または Netra）のプログラムをアタッチ、デタッチ、置換することは決してありません。アタッチメントの一覧は読み取り専用の分類（cil_* / netra_* / その他）です。
  • エージェントは監視、ヘルス状態の報告、一覧の作成を行います。ポリシーの適用は Cilium CRD を通じて行われます。
  • アプリケーションのペイロード、argv/cmdline、Secret の内容は収集しません。
  • 2 つ目の CNI を導入したり、Cilium のデータパスと競合したりしません。
  • フローには Hubble を優先して使用し、マップはノードローカルの情報拡充にのみ使用します。

詳細は docs/cilium-brotherhood.md と docs/ebpf-integration.md を参照してください。

クイックスタート

前提条件：Kubernetes クラスターと kube-context が必要です。Hubble Relay を備えた Cilium も必要です。存在しない場合は、paqtra install --with-cilium でセットアップできます。

# Install the CLI (downloads, verifies and installs the latest release)
curl -fsSL https://raw.githubusercontent.com/zyvorai/paqtra/main/install.sh | sh   # or: brew install zyvorai/tap/paqtra

# Install Paqtra into the current kube-context (the Helm chart is built in)
paqtra install            # add --with-cilium if the cluster has no Cilium yet
paqtra status --wait
paqtra ui                 # open the console

# Something wrong?
paqtra doctor

ソースからのビルド、Docker、Helm、環境変数、テストについては、インストールガイド をご覧ください · CLI リファレンス：docs/cli.md。

Paqtra と PacketWolf の比較

Paqtra と PacketWolf の比較 — 商用プラットフォームで追加される機能

Paqtra は無料の Apache-2.0 コミュニティエディションです。PacketWolf は、同じ Cilium ネイティブの基盤上に構築された Zyvor の商用プラットフォームです。ネットワークを 可視化する 段階から 保護し、運用する 段階へ進む必要があるチーム向けです。

Paqtra（Apache 2.0）PacketWolf（商用）
フロー、判定、サービスマップ、ドロップ、根本原因✅✅
AutoPolicy、シミュレーター、修復機能、カオス、カナリア、リプレイ、マルチクラスター✅✅
各ソケットを開いた プロセス（カーネルによる帰属、システムコールのトレース、netpred explain）—✅
アタッチ状態を正確に示すカスタム eBPF プローブ—（設計上、読み取り専用）✅ オプトイン
脅威検出：学習済みベースライン、DGA とビーコニング、攻撃グラフ、GeoThreat、Tetragon との相関—✅
封じ込め：6 つのプロファイル、ロールバック機能付きの承認制自動対応、フォレンジックパック—✅
Zero-Trust Pilot、ポリシーインサイトのスコアカード、影響範囲、ドリフトスキャン、KubePosture—✅
Ask Zyra ネットワークコパイロット（58 個の読み取り専用ツール、承認制の書き込み操作）—✅
Compliance Lens（SOC 2、PCI-DSS、HIPAA）、CVE のセキュリティ態勢、コストを考慮したエグレス、リスク予測基本監査（CIS、NIST、SOC 2）✅
Kubernetes オペレーターと CRD、netpred CLI—✅
OIDC、SAML、LDAP によるサインイン、テナントビュー、SIEM エクスポートJWT✅
KubeVirt VM コンソールと VNC、ブラウザー内シェル、podman/docker の可視化—✅
サポートコミュニティZyvorAI Labs

詳細な比較：docs/paqtra-vs-packetwolf.md。デモ、トライアル、料金については、デモの予約、30 日間の PoC の開始、[email protected] へのお問い合わせ、または zyvor.dev をご利用ください。

Paqtra と Netra のどちらを選ぶべきですか？

Netra は独立した eBPF の兄弟プロジェクトです。独自のプログラムと /sys/fs/bpf/netra 配下のマップを使用し、緊急制御をリースします。両者が競合してはなりません。

Paqtra を選ぶ場合…Netra を選ぶ場合…
CNI としてすでに Cilium を使用しているcgroup v2 のみで、CNI に依存しない監視が必要
Hubble フロー、経路調査、ポリシープレビューを一か所で確認したい自動的に監視へ戻る、リース付きの緊急拒否機能が必要
ポリシー変更を Cilium CNP 内にとどめたいCNI なしで、カーネルによるドロップの帰属とパケットキャプチャが必要

それぞれの担当範囲：スイート内の位置づけ · Cilium との境界。

セキュリティ

デフォルトの認証情報を使用しない JWT 認証（HS256、32 文字以上のシークレット）、RBAC 対応のミドルウェア、kubectl に渡されるすべてのフィールドの入力検証、明示的な CORS オリジン許可リスト、レート制限、破壊的な操作に対する確認ダイアログを備えています。

脆弱性は SECURITY.md を通じて報告してください。詳しくは、docs/client/security-whitepaper.html をご覧ください。

ドキュメント一覧

目的参照先
Paqtra の機能をすべて確認する機能とスタック · 機能 · 概要
アーキテクチャを理解するアーキテクチャ · Web アーキテクチャ
インストール、ビルド、デプロイするインストールガイド · QUICKSTART.md · デプロイの選択肢
API を呼び出すREST API · OpenAPI · API リファレンス
ターミナル UI を使用するTUI
ノードとアプリのメトリクスを監視するメトリクスプラットフォーム · メトリクスアラート · 異常検知 · アプリコレクター
リポジトリを確認するリポジトリ構成
PacketWolf と比較するPaqtra と PacketWolf の比較
貢献するCONTRIBUTING.md · AGENTS.md · CHANGELOG.md

成熟度

Paqtra のバージョンは 2.2.3 です（CHANGELOG.md）。設計上、その役割は明確に定められています。Paqtra は監視、調査、および CiliumNetworkPolicy の作成を行い、適用は Cilium が担います。カーネルへの帰属分析、カスタム eBPF プローブ、脅威検知、封じ込めは Paqtra の対象外であり、PacketWolf が担います（上記を参照）。

Zyvor スタックの一部

製品Paqtra と連携する役割
PaqtraCilium ネイティブのフロートレーシング、ドロップの説明、ポリシーのプレビュー
PacketWolfPaqtra の Zyvor 商用上位版：カーネルへの帰属分析、脅威検知、封じ込め、オペレーター
NetraCNI に依存しない eBPF による監視とリース付き緊急制御。Paqtra がそのプログラムに触れることはありません
RivoraKubernetes の type: LoadBalancer 向け eBPF L4 ロードバランサー。任意の CNI と併用できます

→ zyvor.dev

サポート

Apache-2.0 のもとで無料で利用できます。役に立った場合は、任意の金額を寄付できます：https://rzp.io/rzp/utwdYh3。寄付は任意であり、開発と保守を支援するものです。購入ではありません。寄付によってサポート、SLA、機能、優先対応、ライセンスが得られることはなく、税控除の対象にもなりません（Zyvor AI Labs Private Limited は慈善団体ではなく企業です）。Zyvor Enterprise（サポート対象リリース、SLA、専任窓口、エンタープライズ機能）は別途提供しています：[email protected]。

ライセンス

Paqtra は Apache License 2.0 のもとで 無料のオープンソースソフトウェア として提供されています（NOTICE を参照）。コントリビューションは同じライセンスのもとで受け付けています。

Zyvor Enterprise では、本番環境のチームが求めるサポート対象リリース、デプロイとアップグレードのガイダンス、優先的なインシデントのトリアージ、専任の技術窓口、24 時間 365 日の重大インシデント受付を提供します。プランと利用条件：docs/SUBSCRIPTION-MODEL.md · 価格 · [email protected]。

脆弱性は SECURITY.md に従って非公開で報告してください。コントリビューションについては、CONTRIBUTING.md を参照してください。

Cilium、Hubble、Ratatui、Axum、React、Tailwind CSS を基盤に構築されています。

### 今日、A が B に接続できない理由を突き止めましょう

デモを予約 30 日間の PoC 料金 営業に問い合わせる GitHub でスターを付ける

コメント

Markdown 対応

MCP は初めてですか？

プロトコルの概要から最初のサーバーの導入まで、よくある疑問にまとめて答えます。

AI アプリケーションが外部のツールやデータソースに統一的な方法で接続するためのオープンなプロトコルです。クライアントはモデルとの対話を担い、MCP サーバーはツール・リソース・プロンプトテンプレートを提供します。標準メッセージでやり取りするため、1 つのサーバーを複数のクライアントで再利用できます。