Для чего этот сервер?

Этот MCP-сервер даёт AI-агентам прямой доступ к управлению безопасностью Linux-серверов. Он позволяет Claude, Cursor и другим агентам выполнять аудит, применять исправления, ужесточать настройки и мониторить состояние — всё через один интерфейс. Вместо того чтобы разбираться в куче утилит, достаточно отдать команду на естественном языке.

Что он умеет?

Разворачивает серверы на облачных провайдерах, управляет ими — добавляет, обновляет и перезагружает, настраивает SSH и fail2ban, применяет 24 шага hardening, запускает аудит с 449 проверками и автофиксы, создаёт бэкапы и снапшоты, собирает логи и метрики, запускает демона мониторинга guard, проводит диагностику doctor, собирает криминалистические доказательства, сравнивает серверы и объясняет отдельные проверки, управляет плагинами.

kastelldev/kastell — MCP-сервер

server_auditтолько чтениеидемпотентныйвнешний мир

Запускает аудит безопасности на сервере. Сканирует 31 категорию с 449 проверками. Возвращает оценку (0-100), оценки по категориям и quick wins. Форматы: 'summary' (краткий текст), 'json' (полный AuditResult), 'score' (только число). Поддерживает фильтрацию по соответствию (cis-level1, cis-level2, pci-dss, hipaa), фильтрацию по категории/критичности, сохранение/сравнение снимков, пороговое ограничение и фильтрацию по профилям. Требует SSH-доступ. Для отслеживания тенденций состояния здоровья используйте server_doctor.

Параметры

serverstring
Server name or IP. Auto-selected if only one server exists.
formatenum
Output format: summary (default), json (full result), score (number only)
summaryjsonscore
frameworkenum
Compliance framework filter. Returns per-control pass/fail summary alongside audit results.
cis-level1cis-level2pci-dsshipaa
explainboolean
When true, include why + fix explanation for each failing check in summary format output. Capped at 10 checks.
categorystring
Filter results to a specific category (e.g. 'SSH', 'Firewall', 'Docker').
severityenum
Filter checks by severity level.
criticalwarninginfo
snapshotany
Save audit snapshot. true for auto-name, string for custom name.
comparestring
Compare two snapshots: format before:after (e.g. pre-upgrade:latest)
thresholdinteger
Minimum passing score (1-100). Returns error if score is below threshold.
profilestring
Server profile filter (web-server, database, mail-server).

server_backupвнешний мир

Резервное копирование и снимки серверов Kastell. Резервное копирование: 'backup-create' создаёт дамп БД Coolify + конфигурацию через SSH (серверы Coolify) или системные конфигурационные файлы (голые серверы), 'backup-list' показывает локальные резервные копии, 'backup-restore' восстанавливает из резервной копии — голые серверы восстанавливают системную конфигурацию, серверы Coolify восстанавливают БД+конфигурацию (SAFE_MODE блокирует восстановление). Снимки: 'snapshot-create'/'snapshot-list'/'snapshot-delete' управляют снимками облачного провайдера (требуется токен API провайдера). Снимки недоступны для серверов, добавленных вручную.

Параметры

actionenumобязательный
Backup: 'backup-create' dumps Coolify DB+config via SSH (or system config for bare servers), 'backup-list' shows local backups, 'backup-restore' restores (SAFE_MODE blocks). Snapshot: 'snapshot-create'/'snapshot-list'/'snapshot-delete'/'snapshot-restore' manage cloud snapshots (requires API token). snapshot-restore restores server disk from a cloud snapshot (SAFE_MODE blocks, destructive).
backup-createbackup-listbackup-restoresnapshot-createsnapshot-listsnapshot-deletesnapshot-restore
serverstring
Server name or IP. Auto-selected if only one server exists.
backupIdstring
Backup timestamp folder name (required for backup-restore).
snapshotIdstring
Cloud snapshot ID (required for snapshot-delete and snapshot-restore).

server_compareтолько чтениеидемпотентныйвнешний мир

Сравнивает два сервера бок о бок. Возвращает сравнение оценок на уровне категорий (по умолчанию) или различия на уровне проверок (режим детализации). Использует кэшированные снимки, если они доступны, в противном случае выполняет аудит через SSH в реальном времени. Требует два зарегистрированных сервера.

Параметры

serverAstringобязательный
First server name or IP.
serverBstringобязательный
Second server name or IP.
freshboolean
Force live audit instead of using snapshots. Default: false.
detailboolean
Return check-level diff instead of category summary. Default: false.

server_doctorтолько чтениеидемпотентныйвнешний мир

Запускает проактивный анализ работоспособности сервера. Обнаруживает тенденцию заполнения диска, высокий своп, устаревшие пакеты, повышенные блокировки fail2ban, серии регрессий аудита, старые резервные копии и освобождаемое пространство Docker. Использует кэшированные метрики по умолчанию - передайте fresh=true для получения актуальных данных через SSH. Возвращает результаты, сгруппированные по уровню серьезности (critical/warning/info), с командами для исправления. Для полной оценки безопасности по 27 категориям используйте server_audit.

Параметры

serverstring
Server name or IP. Auto-selected if only one server exists.
freshboolean
Fetch live data via SSH instead of using cached metrics. Default: false (reads cache only).
formatenum
Output format: summary (grouped findings with counts), json (full DoctorResult).
summaryjson
autoFixboolean
Run diagnose->fix chain automatically. Default: false (read-only).
dryRunboolean
Show what fixes would be applied without executing SSH. Requires autoFix: true.
forceboolean
Skip per-finding confirmation prompts (CI-safe). Requires autoFix: true.

server_evidenceвнешний мир

Собирает пакет криминалистических доказательств с сервера. Собирает правила брандмауэра, auth.log, открытые порты, системные журналы и, опционально, информацию о Docker. Записывает в ~/.kastell/evidence/{server}/{date}/. Возвращает манифест с контрольными суммами SHA256 для каждого файла.

Параметры

serverstring
Server name or IP. Auto-selected if only one server exists.
namestring
Label for the evidence directory (e.g. 'pre-incident').
linesnumber
Number of log lines to collect per file (default: 500).
no_dockerboolean
Skip Docker data collection.
no_sysinfoboolean
Skip system information collection.
forceboolean
Overwrite existing evidence directory.

server_explainтолько чтениеидемпотентный

Проводит детальный анализ одной проверки аудита. Возвращает, что она делает, почему она важна, как её исправить, уровень исправления (SAFE/GUARDED/FORBIDDEN) и ссылки на соответствие (CIS/PCI-DSS/HIPAA). Не требует SSH-подключения. Поддерживает регистронезависимое и нечёткое сопоставление идентификаторов проверок.

Параметры

checkIdstringобязательный
Audit check ID to explain (e.g. SSH-PASSWORD-AUTH). Case-insensitive, fuzzy matching supported.

server_fixвнешний мир

Применяет безопасные авто-исправления к серверу. Запускает аудит, фильтрует исправления уровня SAFE, создаёт резервную копию, применяет исправления и повторно проводит аудит для оценки изменения балла. dryRun по умолчанию равен true (только предварительный просмотр). SAFE_MODE принудительно включает предварительный просмотр. Исправления SSH/фаервола/Docker ЗАПРЕЩЕНЫ и всегда отклоняются. Используйте параметры checks и category для выбора конкретных исправлений.

Параметры

Без параметров.

server_fleetтолько чтениеидемпотентныйвнешний мир

Получает общее состояние здоровья и безопасности для всех зарегистрированных серверов. Возвращает имя сервера, IP, провайдера, статус работоспособности (ONLINE/DEGRADED/OFFLINE), кэшированную оценку аудита и время ответа SSH. Используйте параметр sort для сортировки результатов. Для получения статуса облачного сервера или доступных размеров серверов используйте server_info.

Параметры

sortenum
Sort field: score (descending), name (A-Z), provider (A-Z). Default: name.
scorenameprovider
categoriesboolean
Include weakest audit category per server. Default: false.

server_guardидемпотентныйвнешний мир

Управляет автономным демоном мониторинга безопасности на сервере. Действия: 'start' устанавливает guard как удаленный cron (проверяет диск/ОЗУ/ЦП/аудит каждые 5 мин), 'stop' удаляет запись cron guard, 'status' показывает, активен ли guard, время последней проверки и любые нарушения порогов. Требует SSH-доступа к целевому серверу.

Параметры

serverstring
Server name or IP. Auto-selected if only one server exists.
actionenumобязательный
Guard action: 'start' installs guard cron, 'stop' removes it, 'status' shows current state and recent breaches.
startstopstatus

server_infoтолько чтениеидемпотентныйвнешний мир

Получает информацию о серверах, управляемых Kastell. Действия: 'list' — список всех серверов, 'status' — проверяет облачного провайдера и статус Coolify/голого сервера, 'health' — проверяет доступность Coolify или SSH-доступ для голых серверов, 'sizes' — перечисляет доступные типы серверов с ценами для провайдера+региона. Требует токены API провайдера в переменных окружения (HETZNER_TOKEN, DIGITALOCEAN_TOKEN, VULTR_TOKEN, LINODE_TOKEN) для проверок status/sizes. Избегайте повторных вызовов с короткими интервалами, чтобы не превысить лимиты API провайдера. Для проверки здоровья и аудита всех серверов (fleet-wide) используйте server_fleet.

Параметры

actionenumобязательный
Action to perform: 'list' all servers, 'status' check server/cloud status, 'health' check Coolify reachability (or SSH reachability for bare servers), 'sizes' list available server types with prices for a provider+region
liststatushealthsizes
serverstring
Server name or IP. Required for single-server status/health. Omit for all servers.
providerenum
Cloud provider (required for 'sizes' action)
hetznerdigitaloceanvultrlinode
regionstring
Region/location ID (required for 'sizes' action, e.g. 'nbg1' for Hetzner, 'fra1' for DigitalOcean)
modeenum
Server mode filter for 'sizes' action. Coolify requires min 2GB RAM. Default: coolify
coolifybare

server_lockвнешний мир

Укрепляет сервер до промышленного стандарта. Применяет 24 шага по усилению защиты за один SSH-сеанс, охватывая SSH, fail2ban, UFW, sysctl, unattended-upgrades, демон Docker, auditd, AIDE и другое. Требует production=true (защитная блокировка). Передайте dryRun=true для предварительного просмотра. Учитывает платформу: сохраняет порты Coolify/Dokploy. Показывает оценку аудита до и после. Требует SSH-доступа. Для детальных изменений SSH/брандмауэра/доменов используйте server_secure.

Параметры

serverstring
Server name or IP. Auto-selected if only one server exists.
productionboolean
Set to true to confirm hardening intent. Required to apply 19 hardening steps (safety gate). Omit or pass false to preview with dryRun=true.
dryRunboolean
Preview changes without applying. Returns what would be done. Bypasses the production safety gate.
forceboolean
Force lock even if server already appears hardened.

server_logsтолько чтениеидемпотентныйвнешний мир

Получает логи и системные метрики с серверов, управляемых Kastell, через SSH. Действия: 'logs' извлекает последние строки логов из контейнера Coolify (только для серверов Coolify), Docker-сервиса или системного журнала. Обычные серверы: используйте сервис 'system' или 'docker' (сервис coolify недоступен). 'monitor' получает метрики загрузки CPU, RAM и диска (работает для всех режимов серверов). Требуется SSH-доступ к целевому серверу (root@ip). Примечание: прямая трансляция (--follow) недоступна через MCP — используйте CLI для отслеживания логов в реальном времени.

Параметры

actionenumобязательный
Action: 'logs' fetch recent log lines, 'monitor' fetch CPU/RAM/Disk metrics
logsmonitor
serverstring
Server name or IP. Auto-selected if only one server exists.
serviceenum
Log source (only for 'logs' action): 'coolify' container (Coolify servers only), 'docker' service journal, 'system' full journal
coolifydockersystem
linesnumber
Number of log lines to fetch (only for 'logs' action, default: 50, max: 500)
containersboolean
Include Docker container list in metrics (only for 'monitor' action)

server_maintainидемпотентныйвнешний мир

Обслуживает серверы Kastell. Действия: 'update' запускает обновление Coolify через SSH (только для серверов Coolify — голые серверы заблокированы), 'restart' перезагружает сервер через API облачного провайдера (работает как для Coolify, так и для голых серверов), 'maintain' выполняет полное 5-шаговое обслуживание (только для серверов Coolify — голые серверы заблокированы). Снапшот не включён — используйте инструмент server_backup. Требует SSH-доступа для обновления, токенов API провайдера для перезагрузки/статуса. Ручные серверы: перезагрузка недоступна.

Параметры

actionenumобязательный
Action: 'update' runs platform update via SSH (managed servers — Coolify or Dokploy), 'restart' reboots server via cloud provider API (both modes), 'maintain' runs full 5-step maintenance (status → update → health → reboot → final, managed servers only)
updaterestartmaintain
serverstring
Server name or IP. Auto-selected if only one server exists.
skipRebootboolean
Skip reboot and final check steps (only for 'maintain' action). Useful during business hours.

server_manageвнешний мир

Управляет серверами Kastell. Действия: 'add' регистрирует существующий сервер Coolify или bare-сервер в локальной конфигурации (проверяет API-токен, при необходимости подтверждает Coolify через SSH — передайте mode:'bare' для серверов без Coolify). 'remove' отменяет регистрацию сервера только в локальной конфигурации (облачный сервер продолжает работать). 'destroy' НАВСЕГДА УДАЛЯЕТ сервер у облачного провайдера и удаляет из локальной конфигурации. Требует API-токены провайдера в переменных окружения. Destroy блокируется, когда KASTELL_SAFE_MODE=true. Режим сервера для действия 'add': 'coolify', 'dokploy' или 'bare'. По умолчанию: coolify

Параметры

actionenumобязательный
Action: 'add' register an existing server, 'remove' unregister from local config (server stays running), 'destroy' permanently delete from cloud provider AND local config
addremovedestroy
serverstring
Server name or IP (required for 'remove' and 'destroy' actions)
providerenum
Cloud provider: 'hetzner', 'digitalocean', 'vultr', 'linode' (required for 'add' action). If omitted and client supports elicitation, a form will be shown.
hetznerdigitaloceanvultrlinode
ipstring
Server public IP address (required for 'add' action). If omitted and client supports elicitation, a form will be shown.
namestring
Server name, 3-63 chars, lowercase alphanumeric and hyphens (required for 'add' action). If omitted and client supports elicitation, a form will be shown.
skipVerifyboolean
Skip Coolify SSH verification when adding a server (only for 'add' action)
modeenum
Server mode for 'add' action: 'coolify', 'dokploy', or 'bare'. Default: coolify
coolifydokploybare

server_pluginтолько чтениеидемпотентный

Управление плагинами kastell. Действия: 'list' показывает установленные плагины с количеством проверок и статусом, 'validate' проверяет целостность манифеста и валидность точки входа. Установка/удаление недоступны через MCP — используйте CLI для безопасности (требуется явное согласие пользователя). Не требуется SSH-подключение.

Параметры

actionenumобязательный
Action: 'list' shows installed plugins, 'validate' checks manifest integrity. Install/remove not available via MCP — use CLI for security (requires explicit user consent).
listvalidate
namestring
Plugin name for validate action (validates all if omitted)

server_provisionвнешний мир

Создаёт новый сервер у облачного провайдера. По умолчанию: автоматическая установка Coolify через cloud-init. Передайте mode:'bare' для обычного VPS без Coolify (устанавливает только UFW и запускает обновления системы). Требует токен API провайдера в виде переменной окружения (HETZNER_TOKEN, DIGITALOCEAN_TOKEN, VULTR_TOKEN, LINODE_TOKEN). ВНИМАНИЕ: создаёт оплачиваемый облачный ресурс. Блокируется при KASTELL_SAFE_MODE=true. Сервер полностью инициализируется через 3-5 минут после создания.

Параметры

providerenum
Cloud provider to create server on. If omitted and client supports elicitation, a form will be shown.
hetznerdigitaloceanvultrlinode
regionstring
Region/location ID (e.g. 'nbg1' for Hetzner, 'fra1' for DigitalOcean, 'ewr' for Vultr, 'us-east' for Linode). Uses template defaults if omitted
sizestring
Server type/plan ID (e.g. 'cax11' for Hetzner, 's-2vcpu-2gb' for DigitalOcean). Uses template defaults if omitted
namestring
Server hostname, 3-63 chars, lowercase, starts with letter, only alphanumeric and hyphens, ends with letter or number. If omitted and client supports elicitation, a form will be shown.
templateenum
Template for default region/size. 'starter' = cheapest, 'production' = more resources, 'dev' = development. Explicit region/size override template defaults. Default: starter
starterproductiondev
modeenum
Server mode: 'coolify' installs Coolify, 'dokploy' installs Dokploy, 'bare' provisions generic VPS. Default: coolify
coolifydokploybare

server_secureидемпотентныйвнешний мир

Обеспечивает безопасность серверов Kastell. Secure: 'secure-setup' применяет усиление SSH + fail2ban, 'secure-audit' запускает аудит безопасности с оценкой. Firewall: 'firewall-setup' устанавливает UFW с портами Coolify, 'firewall-add'/'firewall-remove' управляют правилами портов, 'firewall-status' показывает текущие правила. Domain: 'domain-set'/'domain-remove' управляют пользовательским доменом с опциональным SSL, 'domain-check' проверяет DNS, 'domain-info' показывает текущий FQDN. Всё требует SSH-доступа к серверу. Для полного одноразового усиления защиты (SSH + fail2ban + UFW + sysctl + unattended-upgrades) используйте server_lock.

Параметры

actionenumобязательный
Action: Secure: 'secure-setup' hardens SSH + installs fail2ban, 'secure-audit' runs security audit with score. Firewall: 'firewall-setup' installs UFW, 'firewall-add'/'firewall-remove' manage port rules, 'firewall-status' shows rules. Domain: 'domain-set'/'domain-remove' manage FQDN, 'domain-check' verifies DNS, 'domain-info' shows current FQDN.
auditsecure-setupsecure-auditfirewall-setupfirewall-addfirewall-removefirewall-statusdomain-setdomain-removedomain-checkdomain-info
serverstring
Server name or IP. Auto-selected if only one server exists.
portnumber
Port number. Required for firewall-add/remove. Optional SSH port for secure-setup.
protocolenum
Protocol for firewall rules. Default: tcp.
tcpudp
domainstring
Domain name. Required for domain-set and domain-check.
sslboolean
Enable SSL (https) for domain. Default: true.