- Verschifft
- 3. August 2026 um 02:47 UTC
- Autor
- Kamo
- Ausschuss
- 8f6c672
Reversiert die in 06db7db hinzugefügte und in 24f76ae gepatcht. Es dauerte SecurityService für ca. sechs Minuten in Produktion (pod 0/1, Hikari Verbindungen sterben, eine Lebendigkeit neu starten) und wurde entfernt, um den Service wiederherzustellen. Der Fehler war die Annahme, In-Cluster-Abhängigkeiten zu Pods zu lösen. Die meisten von ihnen tun nicht hier: cockroachdb-public, nats und minio-public sind alle Dienstleistungen mit Handbuch Endpunkte, die auf die Knotenadresse 192.168.4.22 zeigen, und nur redis ist tatsächlich pod-backed. Eine NamespaceSelector-Regel kann nicht mit einer Knotenadresse übereinstimmen, und jeder Knoten Adresse sitzt innerhalb der privaten Reichweiten die Internet-Regel außer . so diese drei hatte keine passende Regel und Cilium versagte sie geschlossen. Der Patch in 24f76ae gefangen MinIO und verpasste die beiden anderen, das ist genau, wie es brach. Eine korrekte Version ist beschreibbar (erlauben Sie das Subnetz auf 26257/4222/9000 plus die pod CIDR), aber Versand einen zweiten Versuch, etwas, das nur einen Ausfall verursacht, ohne Inszenierung Umgebung, um es gegen zu beweisen, ist ein schlechter Handel für das, was diese kauft. Es war immer nur Verteidigung-in-Tiefe: die wirkliche Kontrolle gegen eine Absender-gelieferte URL ist PublicHostGuard plus der DNS-Pinning-Fixing-Fixing in SecurityService, die die einzige Ebene, die DNS-Rebinding versteht, ist Einheit getestet gegen ************ Bypasses, und ist unbeeinflusst durch diese Rückführung. Es lohnt sich, später richtig zu handeln, zusammen mit der Umwandlung dieser node-backed Services zu echten In-Cluster-Endpunkten - die Topologie macht Netzpolitik gefährlich hier, und das ist die Sache, zuerst zu beheben.