Как подключить Tailscale к Meta Muse через MCP

💡 Без установки? Используйте cloud.anythingmcp.com напрямую. Войдите, нажмите Connectors → Tailscale, вставьте учётные данные, создайте MCP API key, и готово. Без Docker, без git clone, без локального сервера.

Tailscale + Meta Muse

Администрирование tailnet в Tailscale через API v2: устройства с маршрутами, тегами, одобрением и атрибутами posture, пользователи и роли, auth-ключи, файл политики (чтение, проверка, предпросмотр), DNS и MagicDNS, настройки tailnet, журналы аудита конфигурации и network flow logs, стриминг логов, вебхуки, Services и интеграции posture. Вход через OAuth-клиент, без входа в браузере.

Предварительные требования

Полные инструкции по настройке встроены в коннектор (видны в магазине при выборе коннектора). Требуемые переменные окружения:

TAILSCALE_OAUTH_CLIENT_ID, TAILSCALE_OAUTH_CLIENT_SECRET

Шаг 1 — Получите учётные данные

Настройка занимает около 5 минут, нужен пользователь tailnet с ролью Owner, Admin, Network admin или IT admin. Коннектор входит через OAuth-клиент Tailscale (OAuth2 client credentials): входа в браузере нет, и за ним не стоит учётная запись пользователя.

1. Откройте https://login.tailscale.com/admin/settings/trust-credentials (Settings, Trust credentials; в старых консолях Settings, OAuth clients) и нажмите Credential, затем OAuth.
2. Выберите scopes. Только для чтения достаточно all:read. Для инструментов записи добавьте соответствующие scopes записи: devices:core (нужен один или несколько тегов, например tag:server), devices:routes, users, auth_keys (тоже нужны теги), policy_file, dns, feature_settings, webhooks. all даёт всё.
3. Скопируйте Client ID (например, kAbCdEf1CNTRL) в TAILSCALE_OAUTH_CLIENT_ID, а Client secret (tskey-client-..., показывается один раз) в TAILSCALE_OAUTH_CLIENT_SECRET. API access token (tskey-api-...) здесь не подходит.
4. Установите коннектор и запустите tailscale_list_devices: он покажет устройства tailnet и подтвердит клиент.

Коннектор обменивает клиент на access token сроком на час через https://api.tailscale.com/api/v2/oauth/token и сам его обновляет. В отличие от API access tokens, которые живут не больше 90 дней, OAuth-клиент не истекает. Каждый вызов идёт в tailnet, которому принадлежит клиент (- в пути). Запись, на которую у клиента нет scope, получает ответ 403.

Секреты в ответах: ИИ видит всё, что возвращает инструмент. tailscale_create_auth_key возвращает новый auth-ключ (tskey-auth-...), а tailscale_create_webhook секрет подписи вебхука, и каждый показывается только этот один раз; оба попадают в диалог и к провайдеру ИИ. ИИ передаёт их только тому, кто их запросил, и никогда в другие инструменты, файлы или сообщения. tailscale_list_user_invites показывает ссылки-приглашения, по которым может войти любой, у кого они есть. tailscale_list_keys и tailscale_get_key никогда не возвращают значения ключей, а в tailscale_list_webhooks, tailscale_get_webhook и tailscale_get_log_streaming_configuration секреты подписи, токены и облачные учётные данные удалены.

Устройства: tailscale_list_devices с filter (например, hostname=web-1, tags=tag:prod, authorized=false) и fields=all для маршрутов и связности; tailscale_get_device, tailscale_get_device_routes и tailscale_get_device_posture_attributes. Изменения: tailscale_authorize_device (одобрить устройство или отозвать одобрение), tailscale_set_device_routes (одобрить subnet-маршруты и exit nodes), tailscale_set_device_tags, tailscale_set_device_name (новое имя сразу становится именем MagicDNS) и tailscale_set_device_key_expiry (отключить истечение ключа, скорее для серверов, чем для ноутбуков).

Пользователи: tailscale_list_users по роли или типу, tailscale_get_user, tailscale_list_user_invites; tailscale_update_user_role, tailscale_approve_user, а также tailscale_suspend_user и tailscale_restore_user (приостановка снимается восстановлением).

Ключи: tailscale_list_keys (all=true добавляет auth-ключи и API access tokens), tailscale_get_key и tailscale_create_auth_key для добавления серверов, контейнеров или CI-раннеров: многоразовый или одноразовый, эфемерный, предварительно одобренный, сроком не больше 90 дней. С OAuth-клиентом этого коннектора ключ должен нести теги: теги самого клиента или принадлежащие им.

Правила доступа: tailscale_get_policy_file читает файл политики (grants и acls, groups, hosts, tagOwners, autoApprovers, ssh, nodeAttrs, postures, tests) вместе с его etag. tailscale_preview_policy_rules показывает, какие правила действуют для пользователя или IP:порта, а tailscale_validate_policy_file проверяет черновик и запускает его тесты; оба ничего не меняют.

DNS и настройки: tailscale_get_dns_configuration показывает серверы имён, split DNS, домены поиска и MagicDNS за один вызов. Изменения идут через tailscale_set_dns_nameservers, tailscale_set_dns_preferences (MagicDNS вкл. или выкл.; для включения нужен глобальный сервер имён), tailscale_set_dns_search_paths и tailscale_update_split_dns (меняются только переданные домены). tailscale_get_tailnet_settings и tailscale_update_tailnet_settings охватывают одобрение устройств и пользователей, истечение ключей, автообновления, network flow logging, HTTPS-сертификаты и другое; tailscale_get_contacts показывает контакты аккаунта, поддержки и безопасности.

Логи и интеграции: tailscale_list_configuration_audit_logs (кто что изменил, хранится 90 дней, фильтры по автору, цели или событию), tailscale_list_network_flow_logs (трафик между устройствами, в тарифах Premium и Enterprise с включённым flow logging; ИИ запрашивает минуты, а не дни, потому что ответы быстро растут), tailscale_get_log_streaming_status и tailscale_get_log_streaming_configuration для стриминга в SIEM, вебхуки (tailscale_list_webhooks, tailscale_get_webhook, tailscale_create_webhook), Tailscale Services (tailscale_list_services, tailscale_get_service, tailscale_list_service_hosts) и интеграции posture (tailscale_list_posture_integrations).

Изменения заменяют списки: маршруты, теги, серверы имён и домены поиска отправляются полным списком. ИИ сначала читает текущее значение и отправляет старые записи плюс новую; пропущенный маршрут отключается.

Отключены при установке: tailscale_expire_device_key, tailscale_delete_device, tailscale_delete_user и tailscale_delete_key, потому что их нельзя отменить, и tailscale_set_policy_file, потому что он одним вызовом заменяет всю политику доступа tailnet, а одно неверное правило отрезает пользователей и устройства. Администратор рабочего пространства осознанно включает их, когда это нужно команде.

Форматы данных: nodeId устройства (например, nAbCdEf1CNTRL) это предпочтительный id устройства; числовой id тоже подходит. name это имя MagicDNS (web-1.tailnet-name.ts.net), addresses это IP-адреса Tailscale (100.x.y.z и fd7a:115c:a1e0::/48). Время в RFC 3339, UTC; lastSeen пуст, пока устройство подключено (connectedToControl: true). expires со значением 0001-01-01 означает, что истечение ключа отключено. Теги выглядят как tag:name.

Постраничный вывод: списки приходят одним ответом, без постраничного вывода. Инструменты логов вместо этого принимают время start и end.

Частые ошибки: 401 означает, что OAuth-клиент удалён или секрет неверен. 403 означает, что у клиента нет scope или тегов для этого вызова или тариф не включает функцию. 404 означает, что такого id в этом tailnet нет. 400 приходит с message при неверном вводе, в том числе для файлов политики с проваленными тестами. 412 означает, что политика изменилась после вашего etag. 429 означает ограничение частоты: подождите минуту и повторите.

Коннектор не создаёт OAuth-клиенты и API access tokens, не анонсирует маршруты и не регистрирует устройства (это делается на самом устройстве), а инструментами, включёнными при установке, не удаляет устройства, пользователей и ключи и не заменяет файл политики.

Шаг 2 — Установите адаптер

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Шаг 3 — Добавьте коннектор в Muse

URL вашего сервера: в AnythingMCP откройте MCP Servers → сервер, на котором находится этот коннектор, и скопируйте его URL (https://cloud.anythingmcp.com/mcp/…). Используйте его везде, где в этом руководстве указано YOUR_SERVER_ID.

Muse добавляет удалённые MCP-серверы как пользовательские коннекторы и входит в них через OAuth.

1. В Muse открой Settings → Connectors и выбери Add custom connector.
2. Вставь URL MCP-сервера https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID.
3. Muse откроет страницу входа AnythingMCP: войди и подтверди доступ.
4. В чате попроси Muse о том, для чего нужны инструменты Tailscale.

Настроить коннектор можно и из чата: в вебе, в приложениях для iOS и Android или в WhatsApp. Отправь Muse это сообщение:

Create a Custom Connector for a new remote MCP server, then connect to it:
Name: AnythingMCP
Transport: remote streamable HTTP
URL: https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID
Auth: OAuth

Размещаешь сам? Используй публичный HTTPS-адрес своего экземпляра вместо https://cloud.anythingmcp.com. Muse подключается из облака Meta, поэтому localhost не подойдёт.

Доступные инструменты

Примеры запросов

• «Какие устройства не появлялись больше 30 дней? Покажи имя, пользователя и время последнего появления.»
• «Какие subnet-маршруты анонсирует router-1 и какие из них ещё не одобрены?»
• «Создай многоразовый предварительно одобренный auth-ключ с тегом tag:ci, который истекает через 7 дней.»
• «Кто менял файл политики или настройки DNS за последнюю неделю?»
• «Какие правила нашего файла политики действуют для [email protected]?»

FAQ

Где доступен Muse? Сейчас Meta предлагает Muse в США и Канаде: в вебе, в приложениях для iOS и Android и в WhatsApp.

Проверяет ли Meta этот коннектор? Нет. Meta не проверяет пользовательские коннекторы. Muse видит только те инструменты, которые ты включил для этого MCP-сервера в AnythingMCP, а отключить коннектор можно в любой момент в Settings → Connectors.

Следующие шаги

• Страница коннектора
• Подключить к Claude
• Подключить к ChatGPT
• Подключить к Cursor
• Подключить к Gemini
• Подключить к Microsoft Copilot