RosZ全部功能已支持MCP接入，支持设备范围、工具功能、到期时间等权限配置

具体介绍请查看RosZ【访问控制】【MCP接入】页面，根据接入能力配置帮助和工具说明，让agent自动驾驭您的RouterOS网络设备！

MCP客户端接入配置

服务端点：https://rosz.cn/mcp（Streamable HTTP，推荐）
兼容端点：https://rosz.cn/mcp/sse（SSE，仅在客户端不支持上面那个时才用）
鉴权方式：请求头 Authorization: Bearer 你的MCP密钥
Claude Code（命令行，不用手改配置文件）

claude mcp add --transport http rosz https://rosz.cn/mcp \
--header "Authorization: Bearer 你的MCP密钥"

加 -s user 可让配置对所有项目生效；添加后在 Claude Code 里用 /mcp 命令确认连接状态。
Claude Desktop（claude_desktop_config.json）

{
"mcpServers": {
"rosz": {
"type": "http",
"url": "https://rosz.cn/mcp",
"headers": { "Authorization": "Bearer 你的MCP密钥" }
}
}
}

macOS 在 ~/Library/Application Support/Claude/ 下，Windows 在 %APPDATA%\Claude\ 下。
Cursor（.cursor/mcp.json）

{
"mcpServers": {
"rosz": {
"url": "https://rosz.cn/mcp",
"headers": { "Authorization": "Bearer 你的MCP密钥" }
}
}
}

放在项目根目录下只对该项目生效，放在 ~/.cursor/ 下对全部项目生效。
命令行自验证（确认密钥能用）

curl -X POST https://rosz.cn/mcp \
-H "Authorization: Bearer 你的MCP密钥" \
-H "Content-Type: application/json" \
-H "Accept: application/json, text/event-stream" \
-d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

返回工具列表即说明密钥可用；返回 401 会带上具体原因，照着提示处理即可。

智能体可用能力清单

系统概览

list_capabilities 查看可用能力 只读 所需权限：首页
列出当前这把密钥实际可以调用的全部工具，以及各自所需的权限点与读写要求。建议在会话开始时先调用一次：本服务的工具可见范围由密钥的读写档、工具白名单和密钥所属账号的权限分组三者共同决定，不同密钥能用的工具并不一样。如果某个你以为存在的工具没出现在这里，说明它被上述三者之一挡住了，返回结果里的 blocked 列表会说明具体原因，照着提示让用户去改配置即可，不要反复重试。
get_system_overview 查看总体概览 只读 所需权限：首页
查看当前密钥可见范围内的整体状况：设备总数、在线数、离线数，以及最近24小时的告警条数。这是了解「现在整体是否正常」最快的入口，比逐台查设备省事得多。注意这里的数字只统计本密钥作用域内的设备，不是该账号名下的全部设备，作用域信息见返回的 scope 字段。

设备管理

list_devices 列出设备 只读 所需权限：查看设备参数
列出当前密钥可访问的MikroTik设备，含系统名、别名、备注、分组、型号、归属地、在线状态、最后上报时间。返回的 id 是后续所有设备操作的定位依据，任何针对单台设备的操作前都应先用本工具确认设备确实存在且可见。online 为 false 表示设备已超过判定时长没有上报，此时它的CPU、内存等实时数据展示的是最后一次已知值，不代表当前状态。支持按分组名、关键字、在线状态过滤；结果按最后上报时间倒序。返回里 total 是本次条数、matched 才是命中总数，两者不等即说明被截断了，要继续往下取就调大 limit 或用 keyword 缩小范围。
get_device 查看设备详情 只读 所需权限：查看设备参数
查看单台设备的完整参数：硬件型号与架构、CPU型号核数频率与当前负载、内存与磁盘容量及占用、系统版本与固件版本、序列号、开机时长、网口数量、上下行流量、温度、磁盘坏块数、连接数、PPP/DHCP/WiFi在线数，以及设备健康信息。排查「这台机器是不是资源吃紧」「版本是不是太旧」这类问题时用它。设备离线时返回的是最后一次上报的快照，last_post 字段给出该快照的时间，判断数据新鲜度要看它，不要直接把数值当成当前值。
list_device_groups 列出设备分组 只读 所需权限：查看设备参数
列出当前密钥可访问的设备分组及各组设备数量。分组是用户对设备的自定义归类（如按机房、按线路、按客户），没有层级、就是一层。未归类的设备统一落在「未分组」里。list_devices 的 group 参数要填的就是这里返回的分组名。
update_device 修改设备信息 需读写 所需权限：修改设备备注
修改一台设备的别名、备注或所属分组，三者可以只改其中一项，留空表示不改。这三项都只是本平台内的标注，不会下发到设备本身，不影响设备运行。注意每一项各自需要对应的权限点：改别名要「修改设备别名」、改备注要「修改设备备注」、改分组要「修改设备分组信息」，缺哪一项就改不了哪一项，报错会指明是哪个权限点。把分组改成一个尚不存在的名字，等于新建了这个分组。

状态监视

get_device_metrics 查看设备资源曲线 只读 所需权限：设备监视
查看单台设备一段时间内的资源曲线：CPU负载、内存占用、温度、连接数、PPP/DHCP/WiFi/CapsMAN在线数、整机上下行带宽。排查「这台机器最近是不是一直很忙」「内存是不是在缓慢涨」这类趋势问题时用它，比反复调 get_device 看瞬时值有用得多。range 取 1h、6h、24h、7d、30d 之一，默认 24h，只能看最近这段窗口，不支持指定任意起止时间。metrics 可以只要其中几条曲线，留空则全给，曲线名见返回的 series[].name。**返回的曲线已经过降采样**：原始采样密度最高到每10秒一个点，直接返回会有上万个数字，因此统一压到最多 120 个点，每个点是该时段的平均值；峰值不会因此丢失，每条曲线都另给了 max、min、avg 三个基于原始数据算出的汇总值，判断有没有打满要看 max 而不是曲线。interval 字段说明每个点代表多长时间。设备离线的时段数值为 0，这是「没有数据」不是「指标为零」，结合 get_device 的 last_post 一起看。另外磁盘占用没有历史曲线，只能用 get_device 看当前值。
get_interface_traffic 查看接口流量 只读 所需权限：物理网口
查看单台设备的物理网口情况，有两种用法：不传 interface 时返回全部网口的当前快照（接口名、类型、是否连通、协商速率、实时上下行带宽、累计流量、光模块诊断）；传了 interface 则返回该网口的历史带宽与流量曲线。用于回答「哪个口跑满了」「这条线路什么时候开始跑高的」。**interface 必须填返回里的 default_name（形如 ether1、sfp-sfpplus1），不是用户改过的自定义名**，填自定义名一条数据都查不到。当前快照来自内存缓存，设备离线一段时间后会被清空，此时返回空列表而不是报错。历史曲线同样做了降采样，规则与 get_device_metrics 一致。曲线里 tx_bps/rx_bps 是带宽（每秒比特数），tx_byte/rx_byte 是该时段传输的字节增量，不是累计总量，两者不要混着算。
list_ping_monitors 列出网络延迟监测对象 只读 所需权限：查看网络延迟监视-Ping配置标签页面
列出当前密钥可访问的网络延迟监测对象：监测目标地址或域名、探测类型、所属分组、备注、绑定的探测设备、告警阈值、当前状态。延迟监测是由设备主动去 ping 指定目标，同一个目标绑在不同设备上是各自独立的探测，结果也可能完全不同，所以 device_ids 里列的是「哪几台机器在探这个目标」。active 为 false 表示该监测对象已停止下发探测（通常是超出资源配额被系统置停），此时它不会再产生任何新数据；alert_enable 只管钉钉告警发不发，与探测本身无关，两者不要混淆。注意 device_ids 只列出落在本密钥作用域内的设备，该对象可能还绑了别的设备但你看不到。支持 keyword 按监测目标地址或备注模糊检索，limit 控制返回条数（默认 50、上限 200）。绑定设备全部在作用域外的监测对象会被整条略过，这部分调大 limit 也拿不到。
get_ping_result 查看延迟与丢包数据 只读 所需权限：Ping监视
查看某个网络延迟监测对象的延迟与丢包曲线。monitor_id 填 list_ping_monitors 返回的 id。结果按「发起探测的设备」分组返回：同一个目标绑在不同设备上是各自独立的探测，一台设备通、另一台不通是完全可能的，排查线路问题时这个区分很重要。range 取 1h、6h、24h、7d、30d 之一，默认 24h。delay 的单位是毫秒，loss 是丢包百分比；loss 为 100 表示那一刻完全不通。曲线做了降采样，规则与 get_device_metrics 一致，判断最坏情况要看 max。limit 控制最多返回几台探测设备的曲线，默认与上限都是 20——每台设备是一组独立曲线且要单独查一次库，所以这个上限比别的列表工具紧得多；绑定设备更多时 matched 会大于返回条数，请挑重点设备分几次看，不要指望一次拿全。有一点必须分清：没有数据点表示那个时段设备离线或监测没在跑，与「丢包为零」是两回事，不要把前者当成网络正常。
list_alerts 查看近期告警 只读 所需权限：首页
按时间倒序列出当前密钥可见设备的近期告警：设备掉线与恢复、温度超过阈值、磁盘出现坏块、CPU负载超限、内存占用超限、网络连接数超限。这是回答「现在有什么问题需要处理」最直接的工具，比逐台设备查状态快得多。hours 指定回溯小时数，默认 24、最大 168（7天）。type 可按告警类别过滤，取 offline、online、temperature、disk、cpu、memory、conn 之一，留空表示全部。同一台设备反复掉线恢复会产生多条记录，看清 created_at 再判断是持续故障还是已经恢复。

云指令

list_scripts 列出指令集 只读 所需权限：指令集查看内容
列出当前账号可用的 RouterOS 指令（指令集），含名称、分类、备注、共享范围和正文。下发之前先用它找现成的指令，比自己凭记忆写 RouterOS 命令可靠得多。share_type 说明这条指令的来源：private 是自己建的、internal 是同账号内共享的、public 是全平台公开共享且已审核的。公开指令由其他用户提供，用之前请自行判断内容是否合适。注意返回的正文可能很长，只在确实要下发时才细读。
run_command 下发云指令 需读写 不可逆 所需权限：申请云指令授权并下发执行
把一段 RouterOS 命令下发到指定设备上真实执行。【这是本服务破坏力最大的工具，用之前务必想清楚】服务端对命令内容不做任何语义校验，一条 /system reset-configuration 或 /ip firewall filter remove [find] 下去，设备会当场失联且无法回滚，本平台也救不回来。执行前请把你要下发的命令原样念给用户听并得到确认，不要自行推断用户「应该是想这么做」。三件必须知道的事：一、本工具是异步的，它只负责把指令排进队列并立刻返回 command_id，不等结果。设备每 10 秒来取一次指令，所以通常要等 10 到 40 秒，再用 get_command_result 查结果，不要刚发完就立刻查，那时一定是「执行中」。二、多数账号开着「云指令安全验证」，需要有人先在钉钉或飞书上点一次确认（一次确认管一小时）。没确认时本工具会明确告诉你，那种情况下重试一万次也不会通过，必须让用户去点确认。三、一次最多下发到 10 台设备；确实要对更多设备批量执行时，必须显式传 confirm_bulk=true，这一步是刻意设的减速带，传之前请再次向用户确认。timeout 是设备侧的强制中断秒数，取 1 到 30，超时后设备会强杀这条命令的进程。
get_command_result 查看云指令执行结果 只读 所需权限：查看云指令下发执行记录
按 run_command 返回的 command_id 查这次下发在各台设备上的执行结果与设备回显。每台设备的 status 取值：完成、执行中、超时、已终止。「执行中」表示设备还没来取指令或还没执行完，等十几秒再查一次即可。「超时」是指服务端等了 3 分钟还没收到回执，但它不等于指令被取消——只要设备还在线，队列里没取走的指令在下次心跳时仍会执行，这一点务必跟用户说清楚。另外执行结果只在服务端内存里保留 24 小时，过期后查不到，重启服务也可能丢失。只会返回落在本密钥可访问范围内的那些设备，同一次下发里的其他设备不会出现。

边缘节点

list_nodes 列出边缘节点 只读 所需权限：查看边缘节点信息
列出当前账号的 NodeZ 边缘节点：主机名、操作系统、平台架构、版本、CPU与内存规格、所属分组、最后上报IP与归属地，以及在线状态和实时负载。节点是装了 NodeZ 程序的服务器，与 MikroTik 设备是两套东西，不要混淆——设备用 list_devices 查，节点用本工具查，两者的 id 不通用。online 判据是最近 30 秒内有心跳；离线节点收不到任何脚本下发。
list_node_scripts 列出节点脚本 只读 所需权限：查看节点脚本
列出当前账号可用的节点脚本，含名称、分类、备注、适用平台和共享范围。platform 区分 unix 和 windows，下发时必须与目标节点的平台一致，否则脚本跑不起来。这些脚本是在节点所在的服务器上执行的 shell 或 PowerShell，与下发到 MikroTik 设备的 RouterOS 指令完全是两回事。
run_node_script 下发节点脚本 需读写 不可逆 所需权限：下发执行节点脚本
把一个节点脚本下发到指定的 NodeZ 节点上执行。【高风险工具】脚本是在节点所在服务器上以 root 或 SYSTEM 权限执行的 shell / PowerShell，能做的事等同于登进那台机器敲命令，且没有任何二次确认闸门。执行前请把脚本内容念给用户听并得到明确确认。本工具同样是异步的：它返回一个 batch_id 就结束，节点会在下一次心跳（默认 10 秒）时取走任务，之后用 get_node_script_result 按 batch_id 查结果。脚本的 platform 必须与节点的操作系统匹配，不匹配时脚本会执行失败。timeout 是节点侧的执行超时秒数，取 1 到 3600。
get_node_script_result 查看节点脚本执行结果 只读 所需权限：查看节点脚本执行记录
查节点脚本的执行记录，可以按 batch_id 查某一次下发，也可以按 node_id 查某个节点的历史。返回标准输出、标准错误、退出码和耗时。status 取值：待执行、执行中、完成、失败、超时。有一件事必须知道：服务端不会主动把卡住的记录改判超时，所以一条记录长时间停在「执行中」通常意味着那个节点已经掉线，而不是脚本还在跑——这种情况下反复轮询没有意义，应该先用 list_nodes 确认节点是否在线。与云指令不同，节点脚本的执行记录是真正落库的，可以查很久以前的。

安全组

list_security_groups 列出安全组 只读 所需权限：安全组
列出当前账号的安全组：组名、别名、备注、绑定的设备、规则条数。安全组对应设备上 /ip firewall address-list 里的一个 list，组里的 IP 规则会被自动同步到所有绑定设备上。返回的 list 字段是组名，它同时也是 list_ip_rules 和 add_ip_rule 的入参，注意用组名而不是 id。device_ids 是这个组已绑定的设备，只列出落在本密钥可访问范围内的那些。
list_ip_rules 列出IP规则 只读 所需权限：规则列表
列出某个安全组下的 IP 规则：规则内容（IP、网段或域名）、备注、下发到设备上的备注、域名解析包容度、自助规则的到期时间。group 参数填 list_security_groups 返回的组名。规则内容是域名时，系统会周期性解析它并把解析出的 IP 同步到设备；cidr_range 就是这种情况下允许的 IP 数量上限。
add_ip_rule 添加IP规则 需读写 所需权限：新建规则列表
往指定安全组里添加一条 IP 规则，内容可以是单个 IP、CIDR 网段或域名。添加后规则会在设备下次回连时（通常 5 到 10 秒）自动同步到该组绑定的所有设备上，这意味着它会真实影响这些设备的防火墙行为——加封禁名单前请与用户确认清楚。本接口不会立即下发，也不会等待下发结果，调用成功只代表规则已入库并排进同步队列。内容不合法（既不是 IP 也不是域名）会被拒绝。如果这条规则已存在，则只更新它的设备备注与包容度，不会重复添加。
delete_ip_rule 删除IP规则 需读写 不可逆 所需权限：删除规则列表
按规则 id 删除 IP 规则，id 来自 list_ip_rules。【不可逆】这是物理删除，数据库里不留任何副本，没有回收站也没有撤销，删错了只能手工重新添加。删除后设备上对应的条目会在下次回连时被移除。一次最多删 50 条，这是刻意设的上限——批量清空规则请让用户在网页端操作，那里有预览功能可以先看清楚要删什么。

认证计费

list_radius_accounts 列出计费账号 只读 所需权限：查看计费账号
列出认证计费账号：账号名、所属服务、备注、在线数限额、流量限额与已用流量、到期时间、启用状态。**出于安全考虑，账号密码不会返回**，需要密码请让用户去网页端查看。已用流量取自实时统计，与流量限额同单位；limit_steam 为 0 表示不限流量。账号本身不直接绑定设备，它能在哪些设备上认证由它所属的计费服务决定，因此本工具按「服务关联的设备与本密钥可访问设备有交集」来过滤，服务没关联任何可见设备的账号不会出现在结果里。
get_radius_account 查看计费账号详情 只读 所需权限：查看计费账号
查看单个计费账号的完整信息：基础属性、流量使用情况、当前在线数、所属服务及该服务关联的设备、到期与流量重置周期、接口与MAC绑定情况。**同样不返回密码。**steam_used 是本周期已用流量，steam_limit 为 0 表示不限；两者同单位，用它们算使用率即可。online_num 是此刻的在线会话数，与 limit_online 比较可判断是否已达上限。
list_radius_online 列出在线用户 只读 所需权限：查看在线账号信息
列出当前正在线的认证用户：账号、所在设备、接入类型、上线时间、已在线时长、分配到的IP、主叫标识（通常是MAC）、本次会话的上下行流量。用于回答「谁正在线」「这个账号连在哪台设备上」。在线数据存在服务端内存里，查询是全量扫描，在线用户很多时会比较慢，因此本工具限制了返回条数，请配合 account 参数缩小范围，不要指望一次拉全量。只返回落在本密钥可访问设备范围内的会话。
kick_radius_account 强制账号下线 需读写 不可逆 所需权限：清理计费账号在线
把指定计费账号当前的在线会话强制断开。【会立即影响真实用户】被踢的人网络会当场中断，需要重新拨号或重连才能恢复，执行前务必与用户确认清楚要踢的是谁。实现方式是给账号所在设备下发一条断开指令，等设备下次回连时执行，因此不是瞬时生效，通常 15 秒左右断开。本工具会踢掉该账号在指定服务下的全部在线会话，不支持只踢其中某一条。注意踢下线只断开连接，不会停用账号，对方可以立刻重新连上来；要彻底阻止请让用户在网页端把账号改为禁用。

日志检索

search_device_log 检索设备日志 只读 所需权限：设备日志
检索 MikroTik 设备上报的系统日志（syslog）：时间、设备、日志级别、分类、正文。排查「这台设备当时报了什么错」时用它。**必须给时间范围**：hours 默认 24、最大 168（7天）。日志库按时间分卷存放，跨度越大要扫的表越多、越慢，能缩小到几小时就不要查一整周。keyword 对日志正文做包含匹配，**关键字至少 3 个字符才能走索引**，更短的关键字会退化成全表扫描，可能超时。level 可按级别过滤，常用取值 error、warning、critical、info。结果按时间倒序，最多返回 200 条；条数不够时请缩小时间范围或加关键字，不要指望把几万条日志全拉回来。
search_nat_log 检索NAT日志 只读 所需权限：查看及检索Nat日志数据
检索设备的 NAT 连接日志：谁在什么时候访问了什么地址和端口。用于回答「这个内网 IP 访问过哪些外部地址」「谁连过这个目标」这类溯源问题。**必须给 ip 参数和时间范围**，这是刻意要求的——NAT 日志的数据量极大（单表可到千万行级），不带这两个条件的查询会全表扫描并超时。direction 决定 ip 按哪一侧匹配：src 只看源地址、dst 只看目的地址、both（默认）两边都算。port 可选，同样按 direction 决定匹配哪一侧。hours 默认 24、最大 168（7天）。结果按时间倒序，最多返回 200 条。返回里的归属地、域名、ICP 备案信息是日志入库时解析好的，不是查询时实时解析的。

配置备份

list_backups 列出备份记录 只读 所需权限：查看设备BackUp备份信息
列出设备的备份记录。本系统有两种备份，一次都返回：backups 是二进制的 .backup 整机备份（每天一份，同日重复备份会覆盖）；configs 是文本的 .rsc 配置导出，单台设备最多保留 30 份。排查「配置什么时候被改过」要看 configs——每份 rsc 都带着与上一份的差异大小和占比，diff_percentage 突然变大通常意味着有人做了较大改动，接着用 get_config_diff 看具体改了什么。不传 device_id 则返回全部可见设备的记录。
get_config_diff 查看配置变动 只读 所需权限：比对不同设备的Rsc备份数据
查看配置备份之间的差异，两种用法：只传 config_id 时，返回这份配置相对它上一份的变动（这个差异在备份入库时就算好了，直接读）；同时传 config_id 和 compare_id 时，实时比对任意两份配置。id 来自 list_backups 返回的 configs[].id。返回的 diff_text 是逐行差异，以 + 开头表示新增、- 开头表示删除。差异里的口令、预共享密钥、私钥等敏感值一律显示为 ***已遮蔽***，字段名保留。看到它表示这一项确实被改动过，但具体值本工具不提供，也不要向用户索要或猜测；用户要核对真实值请到网页端的配置变动页面查看。注意配置全文可能很长，只有确实要看细节时才调它；想先知道「改动大不大」，看 list_backups 里的 diff_size 与 diff_percentage 就够了。
run_backup 触发设备备份 需读写 所需权限：设备手动单次备份
让指定设备立刻做一次备份。二进制备份一定会执行；配置导出（rsc）只有在这台设备本来就启用了配置备份计划时才会一并产生，没启用的设备不会出现新的配置记录，这是正常的，不要为此反复重试。这是个安全的操作：只读取设备当前配置并上传，不会修改设备上的任何东西。**但它是异步的**：本工具只是打一个标记就返回，设备要等到下一次心跳（约 10 秒）才会收到指令，然后自己生成文件并上传，整个过程通常几十秒到几分钟，设备配置越大越慢。调用完不要立刻去查 list_backups，那时新备份还没上来。设备必须在线，离线设备收不到这个指令，标记会在一分钟后自行失效。

智能组网

list_vpn_groups 列出智能组网 只读 所需权限：组网架构
列出当前账号的智能组网架构：组网名称、组网方式、覆盖区域、路由模式、备注。智能组网是用 WireGuard 把多台设备与边缘节点连成一张内网。返回的 id 是 get_vpn_topology 的入参。isolation_mode 说明组内互访策略：隔离表示边缘之间不能互通、互通表示可以、全通表示连中心也不限制。
get_vpn_topology 查看组网拓扑与通道状态 只读 所需权限：查看

智能组网通道信息

查看某个组网的全部 WireGuard 通道及其当前通断状态，这是排查「组网是不是断了」最直接的工具。每条通道给出中心端与边缘端各自的状态、延迟、丢包与最近握手时间。status 取值：正常、断开、未知。**「未知」需要特别理解**：通道状态由设备每 5 秒主动上报，服务端只在内存里保留，所以服务刚重启时全部通道都是「未知」，要等设备下一轮上报才有数据；另外状态数据超过 180 秒没更新会被强制判为「断开」，这通常意味着设备本身掉线了，而不只是这条通道有问题。edge_type 区分边缘端是 RouterOS 设备还是 NodeZ 节点，NodeZ 通道没有流量与握手数据。

域名与流量

list_ddns 列出动态域名 只读 所需权限：查看接口动态域名信息
列出当前账号的动态域名及其当前解析到的 IP。本系统有两类动态域名，一次都返回：设备级（level 为 device）跟随设备连接本平台的出口 IP，每台设备一个；接口级（level 为 interface）跟随设备某个网络接口的 IP，一台设备可以有多个。current_ip 为「待更新」表示还没解析过，或者服务刚重启、缓存里还没有这个域名的记录——这不代表域名有问题，等设备下次上报就会有值。update_at 是最后一次实际变更解析的时间，IP 没变时不会更新它。
get_netflow_stats 查看流量分析 只读 所需权限：查看IP流量分析
查看某台设备的流量分析结果，按 IP、IP 对、协议、接口四个维度给出排名。**这个工具有两条很重要的限制，用之前必须理解，否则会得出错误结论**：一、流量分析不是一直在采集的，需要用户先在网页端为该设备启用采样；没启用时本工具返回空结果，这表示「没在采」而不是「没有流量」。二、系统只保留**最近一轮采样**的快照（约 15 秒窗口），没有任何历史数据，所以本工具查不了「昨天的流量」「这一周的趋势」，也没有时间范围参数。返回里的 snapshot_at 是这份快照的生成时刻，data_age_second 是它距今多久，超过几分钟的快照说明采样已经停了，数据只能当参考。另外协议维度只到 IP 协议号（TCP、UDP、ICMP 等），不区分应用和端口，因为采样模板里没有采集端口字段。