Сервер MCP (Model Context Protocol) с независимо включенными сервисами Tailscale и Aperture. По умолчанию Tailscale включена в /tailscale/mcp; Конфигурация диафрагмы и управление ценообразованием выбираются в /aperture/mcp. Службы с поддержкой совместно используют потоковые порты HTTP и используют гранты Tailscale для мелкозернистого контроля доступа.

Особенности

Проводимый HTTP Transport: Обслуживает /tailscale/mcp и подключается /aperture/mcp на одном и том же слушателе и порте через Tailscale, с дополнительным HTTPS и отдельно включенным обратной связью HTTP ** Всеобъемлющая интеграция в масштабе хвоста*: Полное картографическое покрытие продаваемого Tailscale OpenAPI *** Интеграция с диафрагмой: включите --aperture для пяти типовых конфигураций и инструментов ценообразования, с явным подтверждением и защитой ETag для замены конфигурации ** API Альфа-организации**: Перечислите сети организации, создайте только API-сети и удалите только явно настроенную сеть с защищенными инструментами *** Авторизация грантов OAuth**: мелкозернистый контроль доступа MCP с jaxxstorm.com/cap/mcp

Tailscale MCP Server

An MCP (Model Context Protocol) server with independently enabled Tailscale and Aperture services. Tailscale defaults to enabled at /tailscale/mcp; Aperture configuration and pricing management is opt-in at /aperture/mcp. Enabled services share Streamable HTTP ports and use Tailscale grants for fine-grained access control.

Features

• Streamable HTTP Transport: Serves /tailscale/mcp and opt-in /aperture/mcp on the same listener and port via Tailscale, with optional HTTPS and separately opt-in loopback HTTP
• Comprehensive Tailscale Integration: Full mapped coverage of the vendored Tailscale OpenAPI snapshot
• Opt-In Aperture Integration: Enable with --aperture for five typed configuration and pricing tools, with explicit confirmation and ETag protection for configuration replacement
• Alpha Organization APIs: List organization tailnets, create API-only tailnets, and delete only the explicitly configured tailnet with guarded tools
• OAuth Grants Authorization: Fine-grained MCP access control with jaxxstorm.com/cap/mcp
• Single Credential Startup: Uses TAILSCALE_OAUTH_TOKEN for tsnet startup and, when Tailscale MCP is enabled, Admin API access
• Workload Identity: Explicit Kubernetes projected-token, AWS STS, and GCP attached-service-account providers, with legacy inline/file federation and OAuth credentials preserved
• Configurable tsnet State: Stores tsnet state on the filesystem by default, with optional Kubernetes Secret or AWS SSM state stores
• Legacy stdio Compatibility: Deprecated Tailscale-only stdio mode remains available for older local clients; Aperture requires HTTP

Quick Start

export TAILSCALE_OAUTH_TOKEN='{"type":"oauth","clientId":"k123...","clientSecret":"tskey-client-...","scopes":["all"]}'
export TAILSCALE_TAILNET="yourtailnet.com"
export TS_ADVERTISE_TAGS="tag:mcp-server"
./ts-mcp

You can also provide the OAuth client ID separately:

export TAILSCALE_OAUTH_TOKEN="tskey-client-..."
export TAILSCALE_OAUTH_CLIENT_ID="k123..."
export TAILSCALE_TAILNET="yourtailnet.com"
export TS_ADVERTISE_TAGS="tag:mcp-server"
./ts-mcp

The default endpoint is http://.yourtailnet.ts.net:8080/tailscale/mcp; no loopback listener opens by default. Enable Aperture with --aperture=true (or --aperture) to also serve http://.yourtailnet.ts.net:8080/aperture/mcp. Use --tls for tailnet HTTPS (default port 443 for enabled paths, requiring tailnet HTTPS support). Certificate issuance can publish the node’s DNS name in certificate transparency logs.