الانتقال إلى المحتوى الرئيسي
تريد أن يستخدم وكلاؤك خادم Model Context Protocol (MCP) — خادمك البعيد الخاص، أو الخادم المُرفَق — لكنك تريد أن يعمل كل استدعاء أداة يكشفه خلف نقطة اختناق واحدة مدقَّقة. الخطوة الأولى هي تسجيل الخادم في مساحة عملك: اسم، ونقطة نهاية، ووضع مصادقة، واعتماداته. بمجرد تسجيله، تعلن بوابة MCP عن أدواته تحت اتصال واحد وتقيّم كل tools/call عبر سياسة جدار الحماية الخاصة بك قبل أن يصل إلى الخادم الحقيقي. تغطي هذه الصفحة تلك المهمة الواحدة — توصيل سجل خادم وتكوينه. لسلوك البوابة وقت التشغيل والأحكام لكل استدعاء، انظر مرجع MCP؛ وللصورة الأكبر، ابدأ من نظرة عامة على أمان MCP.
التسجيل إجراء وحدة التحكم (مسارات /api/workspace/firewall/* تصادق برمز جلستك / وصولك، وليس بمفتاح ترحيل sk-orca-…). تتطلب الكتابة دور Developer+؛ ويستطيع أي عضو سرد الخوادم.

​
1. كيف توصّل خادم MCP

افتح Firewall → MCP Servers في وحدة التحكم وأضِف خادماً، أو استدعِ واجهة مساحة العمل مباشرةً. التسجيل يحمل أربعة أشياء مهمة:

name

فريد لكل مساحة عمل. يصبح بادئة مساحة الأسماء <server>.<tool>، فالاسم المكرّر في نفس مساحة العمل يُرفض بـHTTP 409.

endpoint

URL خادم MCP البعيد الخاص بك. اتركه فارغاً لتسجيل الخادم المُرفَق داخل العملية بحيث يكون مرئياً وقابلاً للحوكمة.

auth_mode

كيف تصادق البوابة خادمك: none، أو bearer، أو oauth، أو basic.

credentials

السرّ الخاص بالوضع. مخزّن مشفّراً في حالة السكون ومقنّعاً عند القراءة — لا يصل أبداً إلى النموذج أو العميل.
يبدأ الخادم enabled ويُسقَط من البوابة بالكامل في اللحظة التي تعطّله فيها — ذلك هو مفتاح الإيقاف، واعتمادات الخادم المعطّل لا تُفكّ أبداً.

​
2. مثال ملموس واحد

سجّل خادم GitHub MCP بعيداً برمز bearer. هذا استدعاء REST يكافئ وحدة التحكم؛ أسماء الحقول هي بالضبط ما يكتبه النموذج. 
curl https://api.orcarouter.ai/api/workspace/firewall/mcp_servers \
  -H "Authorization: Bearer <your-session-or-access-token>" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "github",
    "endpoint": "https://api.githubcopilot.com/mcp",
    "auth_mode": "bearer",
    "auth_json": "{\"token\":\"ghp_x\"}",
    "enabled": true
  }'
شكل الاعتماد يعتمد على auth_mode:
{"token":"…"} — يُرسَل كرمز bearer إلى خادمك.
{"access_token":"…"} — رمز وصول ثابت ترسله البوابة كترويسة bearer. تبادل client-credentials التلقائي غير مدعوم بعد؛ ودون access_token مخزّن، يفشل فحص وضع oauth بدلاً من الاتصال دون مصادقة.
{"username":"…","password":"…"}.
سلسلة فارغة. لا تُرفَق أي اعتمادات.
عند القراءة، يُقنَّع كل من الاعتماد ونقطة النهاية — تعيد الواجهة عناصر نائبة دلالية، وليس القيم الخام. عند تحديث خادم، أعِد تلك العناصر النائبة كما هي للإبقاء على القيم المخزّنة؛ أرسِل auth_json جديداً فقط عندما تدوّر السرّ فعلاً. انظر تدوير الاعتمادات.

​
3. افحص صحته

قبل أن تتمكن من كتابة قواعد جدار الحماية مقابل أدوات خادم، تحتاج إلى معرفة أنها قابلة للوصول وما تُسمّى. افحص الخادم — تشغّل البوابة مصافحة MCP initialize + tools/list باستخدام الاعتمادات المفكوكة، وتسجّل قابلية الوصول، وتعيد الأدوات المُعلَنة: 
curl -X POST \
  https://api.orcarouter.ai/api/workspace/firewall/mcp_servers/42/probe \
  -H "Authorization: Bearer <your-session-or-access-token>"

{
  "status": "ok",
  "last_checked_at": 1700000000,
  "tools": [
    { "name": "create_issue", "description": "…", "input_schema": {} }
  ]
}
يستقر status في سجل الخادم ويقود مؤشر الصحة:
statusالمعنى
okقابل للوصول؛ الأدوات تُقدَّم بواسطة البوابة.
degradedقابل للوصول، لكن المصافحة كانت جزئية.
downغير قابل للوصول في آخر فحص؛ يُتخطّى الخادم.
الخادم down يُترَك عندما تبني البوابة مجموعة أدواتها، فالانقطاع العابر يتدهور بلطف بدلاً من كسر الإرسال. يعيد الفحص نتيجته بصرف النظر عن المُخرَج — الفحص الفاشل يعود بـ200 مع status: down وسبب منقّح، وليس خطأ نقل.
الخادم المُرفَق داخل العملية (endpoint فارغ) يُرسِل محلياً وليس قابلاً للفحص — فحصه يُرفض بخطأ يوضّح أن التسجيل بلا نقطة نهاية. تفحص فقط خوادمك الخاصة التي لها URL.
كل تغيير تسجيل يُبطل ذاكرة أدوات البوابة المؤقتة لكل مساحة عمل فوراً، فالخادم الموصول حديثاً أو المعطّل أو المُعاد فحصه يحدث أثره على الاتصال التالي بدلاً من بعد نافذة ذاكرة مؤقتة.

​
4. بعد توصيله

بمجرد تسجيل خادم وفحصه ok، تُحوكَم أدواته:
  • كل استدعاء يُقيَّم. يمرّ كل tools/call عبر سياسة جدار الحماية الخاصة بك على سطح mcp قبل أن يصل إلى خادمك. حدّد نطاق القواعد بـ tool_name_glob: github.* الآن وقد عرفت أسماء الأدوات.
  • أحكِم إغلاق السطح. امنع افتراضياً الأدوات التي لم تسمح بها صراحةً — انظر قائمة سماح أدوات MCP.
  • حوكِم أين يصل. ألّف قاعدة خروج بحيث لا تستطيع أداة جلب مضيفين تعسّفيين.
  • راقب التغييرات. الخادم الذي وثقت به يمكن أن يغيّر تعريفات أدواته لاحقاً؛ الدفاع ضد سحب البساط يعلّم ذلك الانحراف.

​
5. مرجع API

كل مسارات وحدة التحكم ضمن نطاق مساحة العمل وتصادق برمز جلستك / وصولك. قراءات السرد مفتوحة لأي Member (الأسرار مقنّعة)؛ كل كتابة تتطلب Developer+.
الطريقة والمسارالدورالغرض
GET /api/workspace/firewall/mcp_serversMemberسرد الخوادم (الأسرار ونقطة النهاية مقنّعة).
GET /api/workspace/firewall/mcp_servers/:idMemberخادم واحد، مقنّع.
POST /api/workspace/firewall/mcp_serversDeveloper+تسجيل خادم (409 على الاسم المكرّر).
PUT /api/workspace/firewall/mcp_serversDeveloper+تحديث خادم (المعرّف في الجسم).
DELETE /api/workspace/firewall/mcp_servers/:idDeveloper+حذف ناعم؛ يحرّر الاسم.
POST /api/workspace/firewall/mcp_servers/:id/probeDeveloper+فحص قابلية الوصول + اكتشاف الأدوات.
يقرأ وكيل SDK سجل التشغيل عبر الرمز ضمن نطاق البوابة عند GET /api/v1/firewall/mcp_servers (الخوادم المفعّلة فقط). لكيفية مصادقة ذلك الجانب، انظر مصادقة بوابة MCP.
لماذا التوصيل عبر OrcaRouter أصلاً؟ حتى يرى مكان واحد كل استدعاء أداة — اتصال واحد، سياسة واحدة، سجل مدقَّق واحد، واعتمادات محقونة عند الإرسال بدلاً من مبعثرة عبر تكوينات الوكلاء. اقرأ تأمين وكلاء الذكاء الاصطناعي و تهديد تسميم أدوات MCP للدافع.

​
ذات صلة

نظرة عامة على أمان MCP

نموذج حوكمة MCP الكامل، من البداية إلى النهاية.

جدار الحماية: خوادم MCP

سلوك البوابة وقت التشغيل والأحكام لكل استدعاء.

مصادقة البوابة

اسكُك ونطّق الرمز الذي يتصل به وكيلك.

قائمة تحقق الثقة

كل ما يجب التحقق منه قبل أن تثق بخادم جديد.