Kubeshark

官方

面向 SRE 与 AI 代理的 Kubernetes 网络可观测性

分类: 其他第 131 / 230
Stars: ★ 12.1k 非常热门
传输方式: stdio（本地进程）
运行环境: 预编译二进制 · Go
凭据: 无需凭据
许可证: Apache-2.0
最近提交: 11 天前
工具数: 14

52FMRS · D

Kubeshark 是由 Kubeshark 维护的官方 MCP 服务器，适合 Kubernetes 网络可观测性、调试、事故响应和 AI 辅助根因分析。它通过 stdio 提供工具，并支持直接 URL 或 kubeconfig 代理模式。主要注意事项是集群访问要求、破坏性部署与移除操作，以及包含解密流量和完整载荷的敏感数据风险。

最强项 · 安装易用性 12/20 最弱项 · 安全与权限 8/20

可靠性

9/20

安全与权限

8/20

维护活跃度

11/20

文档质量

12/20

安装易用性

12/20

查看各项评分依据

可靠性 9/20: 清单声明了明确的 stdio 包、代理模式和工具集合，正常路径在静态上是合理的；但版本、下载地址和哈希仍是自动生成占位符，且提供的材料没有 CI、提交测试、初始化握手或错误处理证据。因此扣分，静态评审下不超过 12 分。
安全与权限 8/20: 破坏性启动和停止操作默认关闭，并要求显式的 allow-destructive 配置，这是权限控制上的正面证据。另一方面，服务器可读取集群级流量、请求头、请求体、PCAP 和解密后的 TLS 数据；清单没有说明认证、授权、数据范围隔离、敏感数据保护或直接 URL 的访问控制。因此存在明显的数据暴露和最小权限缺口，但未达到红线条件。
维护活跃度 11/20: 仓库标记为未归档，拥有明确的 Kubeshark 维护者、Apache-2.0 许可证、发布入口和贡献指南，显示出持续维护的基本信号。材料没有提供实际提交频率、版本历史、依赖更新、漏洞响应流程或维护承诺，因此不能给予高分。
文档质量 12/20: README 覆盖 Helm、Homebrew、二进制安装、MCP 接入、主要能力、示例问题、协议和相关文档链接，整体可用于理解产品。缺少逐工具参数与返回限制、认证配置、资源成本、故障排查、权限模型和敏感流量处理说明，因此扣除充分性分数。
安装易用性 12/20: 从安装 Helm 或 Homebrew 到通过 kubectl port-forward 连接 MCP 有较清晰的主流程，也声明了多平台包和 URL/代理两种模式。实际使用仍依赖 Kubernetes、kubectl、集群权限和现有部署；发布包 URL 使用 X.Y.Z 占位符，且没有主流客户端的完整配置示例或验证步骤，因此只能评为中等易用。

静态评测 · 未实际运行收录于 2026-07-29

查看 FMRS 评分方法 →

选型与风险

能访问什么访问网络

适合谁

使用 Kubernetes 的 SRE、DevOps 和网络工程团队。
需要集群级网络、API 和 Kubernetes 上下文的事故响应与根因分析。
希望让兼容 MCP 的 AI 代理查询实时或历史网络数据的团队。

不适合谁

不运行 Kubernetes 或不需要网络流量观测的用户。
只需要普通文件、数据库或协作功能的客户端场景。
不适合处理敏感流量数据或 TLS/mTLS 解密风险不可接受的环境。

所需权限

代理模式需要访问 Kubernetes 集群的 kubeconfig。
直接 URL 模式需要可访问现有 Kubeshark Hub 的 URL。
启动和停止操作需要显式启用 --allow-destructive。
源材料未说明具体 Kubernetes RBAC 权限或认证机制。

风险与副作用

工具可以部署或移除 Kubeshark，且 start_kubeshark 与 stop_kubeshark 被标记为破坏性操作。
观测数据可能包含完整 API 请求、请求头、请求体和 PCAP。
TLS/mTLS 流量可被解密为明文，因此可能暴露敏感信息。
源材料未说明访问控制、认证或数据保留策略。

安装接入

准备工作

运行环境：预编译二进制 · Go

先安装并部署 Kubeshark：helm repo add kubeshark https://helm.kubeshark.com && helm install kubeshark kubeshark/kubeshark。随后可使用 kubectl port-forward svc/kubeshark-front 8899:80，并在浏览器中打开 http://localhost:8899。连接 AI 代理可执行 brew install kubeshark，然后运行 claude mcp add kubeshark -- kubeshark mcp。也可通过配置 url 直接连接现有 Kubeshark Hub，或通过 kubeconfig 使用代理模式。

验证是否装好

运行 brew install kubeshark 并执行 claude mcp add kubeshark -- kubeshark mcp 后，在客户端工具列表中应出现 check_kubeshark_status 等工具；调用它应返回 Kubeshark 在集群中的运行状态。

常见排障

先调用 check_kubeshark_status 确认 Kubeshark 是否在集群中运行。
代理模式下检查 kubeconfig 路径及其集群访问能力。
直接连接模式下检查 Kubeshark Hub URL 是否可访问。
使用本地仪表板时确认 kubectl port-forward svc/kubeshark-front 8899:80 正常运行。
检查 get_dissection_status，必要时启用或禁用 L7 协议解析。
确认未在未授权情况下启用 --allow-destructive。

试试这样问

连接成功后，可以直接对 AI 助手这样说：

检查 Kubeshark 是否正在集群中运行
列出最近有 L7 流量的工作负载
为什么下午 2:15 结账失败了？找出相关的 API 错误
创建一个当前流量的 PCAP 快照

工具能力 14

check_kubeshark_status 只读

检查 Kubeshark 是否正在集群中运行；只读操作。

start_kubeshark 破坏性

将 Kubeshark 部署到 Kubernetes 集群；需要启用 --allow-destructive。

stop_kubeshark 破坏性

从 Kubernetes 集群移除 Kubeshark；需要启用 --allow-destructive。

list_workloads 只读

列出存在已观测 L7 流量的 Pod、服务、命名空间和节点。

list_api_calls 只读

使用 KFL 过滤查询 HTTP、gRPC、Redis、Kafka 和 DNS 等 L7 API 事务。

get_api_call 只读

获取指定 API 调用的详细信息，包括请求头和请求体。

get_api_stats 只读

获取聚合后的 API 统计信息和指标。

list_l4_flows 只读

列出带有流量统计的 L4 TCP/UDP 网络流。

展开其余 6 个工具

get_l4_flow_summary 只读

获取 L4 连接摘要，包括主要通信方和跨命名空间流量。

list_snapshots 只读

列出所有 PCAP 快照。

create_snapshot 写入

创建捕获流量的新 PCAP 快照。

get_dissection_status 只读

检查 L7 协议解析状态。

enable_dissection 写入

启用 L7 协议解析。

disable_dissection 写入

禁用 L7 协议解析。

使用场景

查询 API 流量并分析错误、失败和延迟。

追踪请求在微服务之间的路径。

查看服务通信拓扑和工作负载依赖。

分析 TCP/UDP 连接、跨命名空间流量和主要通信方。

创建或查询 PCAP 快照以开展事故响应和根因分析。

审计流量中的安全问题。

支持客户端

Claude Code

Cursor部分支持

依据项目文档列出，未经本站实测。

详细介绍

Kubeshark 是一个基于 eBPF 的 Kubernetes 网络可观测性 MCP 服务器，可按 Kubernetes、API 和网络语义索引集群级 L4/L7 流量，并分析 HTTP、gRPC、Redis、Kafka 和 DNS 等协议。它支持查询 API 调用、网络流、统计信息和 PCAP 快照，也能在无需密钥管理或 sidecar 的情况下解密 TLS/mTLS 流量。