mcpField
P
Paqtra

Paqtra

本地服务
github.com云与基础设施31 周前更新
代码仓库访问官网

关于 Paqtra

Paqtra 为 Kubernetes 运维人员提供只读的 Cilium 和 Hubble 可观测平台，支持流量历史、丢弃原因分析和策略模拟。其 `paqtra-mcp` 服务允许 AI Agent 调查部署情况，而不修改集群。

主要功能

  1. 01可搜索的 Hubble 流量历史
  2. 02Cilium 丢弃原因分析
  3. 03基于流量模拟策略
  4. 04Web 面板、REST API 和 TUI
  5. 05只读集群调查

适用场景

  1. 01排查服务间流量失败原因
  2. 02查看丢弃流量及 Cilium 判定
  3. 03预览 CiliumNetworkPolicy 变更
  4. 04通过 AI Agent 查询 Paqtra

MCP 相关

`paqtra-mcp` 是只读的 stdio MCP 服务，提供 39 个工具来查询 Paqtra 部署。调用使用用户自己的 API 凭据，因此遵循 RBAC 和命名空间范围限制。

配置

本地服务的配置在各客户端中通用，复制后粘贴到客户端的 MCP 配置文件即可。

mcp.json · 通用配置
{
  "mcpServers": {
    "zyvorai-paqtra": {
      "command": "docker",
      "args": [
        "run",
        "-i",
        "--rm",
        "-e",
        "PAQTRA_URL",
        "-e",
        "PAQTRA_TOKEN",
        "-e",
        "PAQTRA_USERNAME",
        "-e",
        "PAQTRA_PASSWORD",
        "ghcr.io/zyvorai/paqtra-mcp:2.2.3"
      ],
      "env": {
        "PAQTRA_URL": "<PAQTRA_URL>",
        "PAQTRA_TOKEN": "<PAQTRA_TOKEN>",
        "PAQTRA_USERNAME": "<PAQTRA_USERNAME>",
        "PAQTRA_PASSWORD": "<PAQTRA_PASSWORD>"
      }
    }
  }
}
启动命令docker run -i --rm -e PAQTRA_URL -e PAQTRA_TOKEN -e PAQTRA_USERNAME -e PAQTRA_PASSWORD ghcr.io/zyvorai/paqtra-mcp:2.2.3
需要配置的环境变量
PAQTRA_URLBase URL of the Paqtra API, for example https://paqtra.example:9191.
PAQTRA_TOKEN密钥JWT bearer token for the Paqtra API. Alternative to PAQTRA_USERNAME and PAQTRA_PASSWORD.
PAQTRA_USERNAMEPaqtra user to log in as when PAQTRA_TOKEN is not set. A read-only role is enough.
PAQTRA_PASSWORD密钥Password for PAQTRA_USERNAME.

本地服务需要在你的电脑上安装运行环境（如 Node.js 18+）。各客户端的配置文件位置不同，请参考客户端文档。

安装包
ocighcr.io/zyvorai/paqtra-mcp:2.2.3

工具

还没有获取到工具列表

本地服务需要在你的电脑上运行后才能读取工具，维护者暂未提供工具列表。

详细介绍

Paqtra

CI License: Apache 2.0 Rust Cilium Changelog Docs

预约演示 30 天 PoC 安装

Paqtra — 面向 Kubernetes 的 Cilium 原生网络可观测性与运维

A 为什么无法连接到 B？Paqtra 会追踪每条流量并显示 Cilium 的判定结果。

面向 Kubernetes 的 Cilium 原生网络可观测性与运维。 存储并支持搜索每条 Hubble 流量，按照 Cilium 原因说明丢包，在应用 CiliumNetworkPolicy 之前模拟其变更，并由 Cilium 负责执行策略。

Web 仪表板 · REST API · 终端 TUI · 任意流量的拒绝原因 · 只读访问数据平面 · 免费，Apache 2.0

📖 阅读完整文档：快速入门、架构、Cilium 边界和产品导览。

最新动态

每秒指标平台（尚未发布）每个 Agent 每秒都会传输主机、网络、磁盘、Pod、进程组和应用指标；API 将其保存在 1 s / 1 min / 1 h 分层中，添加 Hubble 流量、判定结果、丢包、HTTP 和 DNS 序列，按维度标记异常，运行 45 个内置指标告警，并导出到 Prometheus remote write、OTLP 或 Graphite。docs/metrics.md
MCP 服务（2.2.3）paqtra-mcp 是一个只读的 stdio MCP 服务，提供 39 个工具，可让 AI Agent 使用调用者自己的凭据查询 Paqtra 部署。该服务随 v2.2.3 版本发布为 ghcr.io/zyvorai/paqtra-mcp:2.2.3，并已发布到 MCP Registry，名称为 io.github.zyvorai/paqtra。docs/mcp-integration.md
像 cilium-cli 一样安装（2.2.0）Helm chart 已编译进 paqtra 二进制文件：install、upgrade、status --wait、--with-cilium、前置条件检查和 doctor。
已签名的版本（2.2.0）提供静态 musl Linux 和 macOS 二进制文件，以及 sha256sums.txt、cosign 无密钥签名、SBOM 和 Homebrew formula。
按规则编辑策略（2.2.0）可添加、替换或删除 CiliumNetworkPolicy 中的一条规则，并支持 ?dry_run=true、冲突检测和审计记录。
Cilium 洞察（2.2.0）以只读方式查看 Cilium 功能、Hubble 节点、BGP、LB-IPAM、L2、Pod IP 池、CIDR 组和 Gateway API 资源。
变更影响分析与可分享的调查（2.2.0）对变更前后的流量进行关联，并生成调查包，其中包含有时限且经过脱敏的分享链接。
拒绝原因？（2.1.0）从任意丢弃的流量查看身份、候选 CNP/CCNP、丢弃原因和允许流量的草案。
大型流量存储依然快速（2.2.1、2.2.2）读取操作不会阻塞数据写入，每次读取都有截止时间，近期时间窗口查询通过时间索引执行。

完整历史记录：CHANGELOG.md。

为什么选择 Paqtra

遇到这种情况……Paqtra 为你提供……
请求失败，却没人知道原因对任意流量进行路径解释和 为何被拒绝？ 分析，并提供带置信度标签的证据
Cilium 丢弃数据包，原因却深藏其中按 Cilium 原因分析丢弃事件，并逐包解释
想更改策略，又不想造成故障应用前，针对已索引的流量模拟 CiliumNetworkPolicy
几分钟前需要的流量早已从 Hubble 中滚出持续跟踪 Hubble 流并存入本地 SQLite 流量库，可按时间窗口查询
任何会接触数据路径的网络工具都不可接受对 Cilium 只读：不写入 BPF 映射、不挂载程序，也不是第二个 CNI
每个 Cilium 附加组件都需要单独的安装流程内置 Helm chart 的 paqtra install、paqtra status --wait、paqtra doctor

Paqtra 以观测为先。流量来自 Hubble；节点本地增强功能可能会读取 BPF 映射清单。执行策略仍由 Cilium 负责：策略变更通过 CiliumNetworkPolicy (CNP) 进行，绝不通过 Paqtra 自己的数据路径执行。

功能一览：观测、调查、保护、运维

Paqtra 与 Hubble UI 对比

Paqtra 与 Hubble UI：从实时流量到可付诸行动的判定

Paqtra 不会取代 Hubble；它通过 Hubble Relay 读取 Hubble 的流量，并在此基础上构建功能。

PaqtraHubble UI（随 Cilium 提供）
流量来源Hubble Observer gRPC 持续流Hubble Relay
流量历史记录本地 SQLite 流量库，可按时间窗口查询来自 Hubble 内存缓冲区的实时流量
服务映射服务映射和观测到的流量拓扑按命名空间显示服务映射
“为什么 A 无法访问 B？”路径解释，提供已观测／推断／不可用的证据自行检查流量
丢弃事件按 Cilium 原因分析丢弃事件，并逐流分析为何被拒绝？显示每个流量的判定结果和丢弃原因
策略规则构建器、YAML 编辑器、AutoPolicy、模拟、应用为 CNP不是策略编辑器
接口Web 仪表板、REST API、终端 UI、CLIWeb UI（以及 hubble CLI）
适合选择 Hubble UI 的情况你只需要实时流量和服务映射，并且只想使用随 Cilium 提供的功能

实时体验

Paqtra 实时演示

在运行 Cilium 和 Hubble 的实验集群中实时录制。请访问 文档网站图库 查看完整介绍。

Paqtra 仪表板 — 概览

观测

实时 Hubble 流量，带有判定结果颜色标记和 WebSocket 流式传输；服务映射和基于真实流量构建的观测流量拓扑。启用 Cilium DNS 可见性时，显示真实的 L7 DNS 查询／rcode／延迟；仅有 L4 信息时绝不会凭空编造 SERVFAIL。功能 →

在流量旁显示每秒节点指标：CPU、内存、磁盘、接口、TCP、conntrack、Pod cgroup、进程组（仅按 comm）和带注释的应用（nginx、Redis、Envoy、CoreDNS、etcd、任意 Prometheus 端点），并提供实时画布图表、按维度进行异常检测、“这里发生了什么变化？”关联分析，以及 Netdata 风格的指标告警；告警只通知，绝不应用策略。终端中也可使用 paqtra metrics … 查看相同信息。指标 → · 告警 → · 异常 → · 应用 →

带有判定结果颜色标记的 Hubble 流量

基于观测流量的服务映射

观测到的流量拓扑

调查

询问“为什么 A 无法连接到 B？”，并获取带有已观察到、推断得出或不可用证据标签的答案。点击任何被丢弃流量上的为何被拒绝？。调查 → · 根因 →

路径调查——为什么 A 无法连接到 B？

按 Cilium 原因分类的丢弃分析

诊断

仪表板还包含由 bpftool 提供支持的真实内核 eBPF 数据视图：连接跟踪表、策略映射、IP 缓存、LB 映射和丢弃分析。全部为只读。eBPF 集成 →

eBPF 映射和程序清单（只读）

安全防护

可视化规则构建器、YAML 编辑器、由 ML 提供支持的 AutoPolicy，以及基于证据的模拟器；所有策略均通过 Kubernetes API 以 CiliumNetworkPolicy 的形式应用。由 Cilium 执行。AutoPolicy → · 模拟器 →

策略

还包括合规审计（CIS、NIST、SOC 2）、异常检测、混沌工程、金丝雀部署和多集群视图。Paqtra 的所有功能 →

MCP

paqtra-mcp 是一个 stdio Model Context Protocol 服务，可让 AI Agent（Claude Desktop、Hermes Agent、任何 MCP 客户端）读取正在运行的 Paqtra 部署。它提供 39 个工具，所有工具对集群均为只读：不应用、编辑或删除策略，不执行混沌操作，不进行修复，不同步集群，也不清空流存储。两个调查工具会在 API 中存储证据包，不会执行其他操作。每次调用都使用你自己的 API 凭据，因此 RBAC 和命名空间范围限制均适用。

  • 注册表名称：io.github.zyvorai/paqtra（从 v2.2.3 版本发布）
  • 镜像：ghcr.io/zyvorai/paqtra-mcp:2.2.3
  • 配置：PAQTRA_URL，以及 PAQTRA_TOKEN 或 PAQTRA_USERNAME / PAQTRA_PASSWORD；请使用查看者角色的账号。

设置、工具范围和协议：docs/mcp-integration.md。

工作原理

Hubble 输入，答案输出，仍由 Cilium 决策

组件端口作用
API（ghcr.io/zyvorai/paqtra-api）9191Rust + Axum REST API：将 Hubble 数据导入流存储、调查、丢弃分析、策略、JWT 身份验证
UI（ghcr.io/zyvorai/paqtra-ui）8443React 仪表板，默认通过 TLS 提供服务
节点 Agent（ghcr.io/zyvorai/paqtra）9192每个节点上的 DaemonSet：健康状态，以及只读映射和程序清单
paqtra CLI—安装、升级、状态、诊断、ui、hubble enable；内置 Helm chart

端口采用 chart/values.yaml 中的 Helm chart 默认值。架构详解：docs/architecture.md · docs/web-architecture.md。

Paqtra 绝不会做什么

Paqtra 负责观测，Cilium 负责决策——它读取什么，绝不做什么

通过审查强制执行并在 AGENTS.md 中反复说明的严格边界：

  • 绝不写入 Cilium BPF 映射，也绝不覆盖 cil_* 程序的 pin。
  • 绝不附加、分离或替换 Cilium（或 Netra）程序。附加项清单只进行只读分类（cil_* / netra_* / 其他）。
  • Agent 负责观测、报告健康状态并生成清单。策略通过 Cilium CRD 应用。
  • 不收集应用负载、argv/cmdline 或 Secret 内容。
  • 不引入第二个 CNI，也不与 Cilium 的数据路径竞争。
  • 流量信息优先使用 Hubble；映射仅用于节点本地的补充信息。

详情：docs/cilium-brotherhood.md 和 docs/ebpf-integration.md。

快速入门

前提条件：一个 Kubernetes 集群和一个 kube-context。还需要 Cilium 和 Hubble Relay；如果尚未安装，paqtra install --with-cilium 会完成安装。

# Install the CLI (downloads, verifies and installs the latest release)
curl -fsSL https://raw.githubusercontent.com/zyvorai/paqtra/main/install.sh | sh   # or: brew install zyvorai/tap/paqtra

# Install Paqtra into the current kube-context (the Helm chart is built in)
paqtra install            # add --with-cilium if the cluster has no Cilium yet
paqtra status --wait
paqtra ui                 # open the console

# Something wrong?
paqtra doctor

从源代码构建、Docker、Helm、环境变量和测试：安装指南 · CLI 参考：docs/cli.md。

Paqtra 与 PacketWolf 的对比

Paqtra 与 PacketWolf 的对比——商业平台提供的额外功能

Paqtra 是免费的 Apache-2.0 社区版。PacketWolf 是 Zyvor 基于相同的 Cilium 原生基础打造的商业平台，适用于需要从查看网络进阶到保护和运营网络的团队。

Paqtra（Apache 2.0）PacketWolf（商业版）
流量、判定结果、服务映射、丢弃、根因分析✅✅
AutoPolicy、模拟器、修复器、混沌测试、金丝雀发布、回放、多集群✅✅
哪个进程打开了每个套接字（内核归因、系统调用跟踪、netpred explain）—✅
自定义 eBPF 探针，并清晰显示挂载状态—（出于设计仅提供只读功能）✅ 可选
威胁检测：学习基线、DGA 和信标行为、攻击图、GeoThreat、Tetragon 关联分析—✅
遏制：六种配置文件、带回滚机制的受控自动响应、取证包—✅
零信任试点、策略洞察评分卡、影响范围、配置偏差扫描、KubePosture—✅
Ask Zyra 网络副驾驶（58 个只读工具，受控写入操作）—✅
合规性视图（SOC 2、PCI-DSS、HIPAA）、CVE 安全状况、成本感知型出站流量、风险预测基础审计（CIS、NIST、SOC 2）✅
Kubernetes 运算符和 CRD、netpred CLI—✅
OIDC、SAML、LDAP 登录、租户视图、SIEM 导出JWT✅
KubeVirt 虚拟机控制台和 VNC、浏览器内 Shell、podman/docker 可见性—✅
支持社区ZyvorAI Labs

完整对比：docs/paqtra-vs-packetwolf.md。如需演示、试用或了解定价，请预约演示，开始为期 30 天的 PoC，或联系 [email protected]，也可访问 zyvor.dev。

选择 Paqtra 还是 Netra？

Netra 是独立的 eBPF 同系项目：它在 /sys/fs/bpf/netra 下使用自己的程序和映射，并提供租约式紧急控制。两者不得互相冲突。

选择 Paqtra，如果……选择 Netra，如果……
Cilium 已经是指定的 CNI你只需要基于 cgroup v2、与 CNI 无关的观测功能
你希望在同一处查看 Hubble 流量、调查路径和预览策略你希望租约式紧急拒绝策略在到期后自动恢复为观测模式
策略变更应保留在 Cilium CNP 中你需要内核丢弃归因和数据包捕获，且不依赖 CNI

职责划分：套件定位 · Cilium 边界。

安全

JWT 身份验证（HS256，密钥长度不少于 32 个字符），无默认凭据，支持 RBAC 的中间件，对所有传递给 kubectl 的字段进行输入验证，明确的 CORS 来源允许列表，速率限制，以及破坏性操作确认对话框。

请通过 SECURITY.md 报告漏洞。深入了解：docs/client/security-whitepaper.html。

文档导航

我想……阅读
了解 Paqtra 的全部功能功能与技术栈 · 功能特性 · 概述
了解架构架构 · Web 架构
安装、构建和部署安装指南 · QUICKSTART.md · 部署选项
调用 APIREST API · OpenAPI · API 参考
使用终端 UITUI
查看节点和应用指标指标平台 · 指标告警 · 异常检测 · 应用采集器
浏览代码库代码库布局
与 PacketWolf 比较Paqtra 与 PacketWolf
参与贡献CONTRIBUTING.md · AGENTS.md · CHANGELOG.md

成熟度

Paqtra 当前版本为 2.2.3（CHANGELOG.md）。其职责边界经过明确设计：负责观察、调查并编写 CiliumNetworkPolicy；由 Cilium 执行策略。内核归因、自定义 eBPF 探针、威胁检测和遏制不属于 Paqtra 的范畴，而是由 PacketWolf 提供（见上文）。

Zyvor 技术栈的一部分

产品与 Paqtra 并列的角色
Paqtra原生支持 Cilium 的流量追踪、丢弃原因解释和策略预览
PacketWolfZyvor 面向商业用途的 Paqtra 超集：内核归因、威胁检测、遏制、运维控制器
Netra与 CNI 无关的 eBPF 观察和租约式紧急控制；Paqtra 绝不会触及其程序
Rivora面向 Kubernetes type: LoadBalancer 的 eBPF L4 负载均衡器，可与任意 CNI 并用

→ zyvor.dev

支持

基于 Apache-2.0 协议免费提供。如果它对你有所帮助，可以捐赠任意金额：https://rzp.io/rzp/utwdYh3。捐赠为自愿行为，用于支持开发和维护。捐赠不是购买行为：不包含支持服务、SLA、功能、优先权或许可证，也不能抵税（Zyvor AI Labs Private Limited 是一家企业，并非慈善机构）。Zyvor Enterprise（含支持的版本、SLA、专属联系人和企业功能）为单独服务：[email protected]。

许可证

Paqtra 基于 Apache License 2.0 协议免费开源（参见 NOTICE）。贡献内容也须遵循同一许可证。

Zyvor Enterprise 提供生产团队所需的额外服务：支持的版本、部署和升级指导、优先事件分流、专属技术联系人，以及全天候受理紧急问题。方案和条款：docs/SUBSCRIPTION-MODEL.md · 定价 · [email protected]。

请按照 SECURITY.md 的说明私下报告漏洞。贡献指南：CONTRIBUTING.md。

基于 Cilium、Hubble、Ratatui、Axum、React 和 Tailwind CSS 构建。

### 立即查明 A 为什么无法连接到 B

预约演示 30 天 PoC 定价 联系销售 在 GitHub 上点星

评论

支持 Markdown

第一次接触 MCP？

从协议是什么，到在客户端里装上第一个服务，这几条回答覆盖了大多数入门问题。

一个开放协议，规定了 AI 应用如何以统一方式连接外部工具与数据源。客户端负责与模型对话，MCP 服务负责提供工具、资源和提示模板，两者通过标准消息通信，同一个服务可以被不同客户端复用。