- Se descapó
- 3 de agosto de 2026 a las 3:10 UTC
- Autor
- Kamo
- Compromit
- 07a5ca0
Reintegró lo que 8f6c672 revirtió, en la única forma que realmente funciona aquí. El intento anterior fracasó porque una política llana no puede expresar esto La topología del grupo. De las cuatro dependencias críticas de Seguridad-Service viven en directo el nodo, no en la red de vainas de cucaracha-0 y nats-k1m1-0 de ejecución hostNetwork, y MinIO es un proceso de host. por lo que un podSelector nunca puede igualarlos. El parte no obvia, y la razón por la que el primer intento de parche también fracasó, es que un ipBlock para la subred de nodos tampoco lo fija: Cilium clasifica el nodo como la identidad reservada de host/nodo-nódote, y las normas CIDR deliberadamente no coinciden Identidades reservadas. a las Entidades es la única construcción que lo expresa. Ambos modos de falla fueron reproducidos contra una cápsula canaria desechable antes de escribir esto, más que contra la producción. El canario llevaba la misma regla establecida una etiqueta distinta, que es como la versión ipBlock fue atrapada bloqueando silenciosamente CockroachDB, NATS y MinIO mientras se ve perfectamente razonable. Verificado en el canario, luego confirmado en SecurityService sin reinicias y sin errores de conexión: ALLOW dns, crdb:26257, nats:4222, minio:9000, redis:6379, hermanos:80, mundo:443 BLOCK node:22, nodo:443, kube-api:443, redis-via-node:6379, 169.254.169.254, loopback:9000 Los cuatro últimos son el punto: una SSRF en el banndo ahora no tiene adónde ir. El guardia en código sigue siendo el control principal - es la única capa que entiende DNS reencuadernación y esto es defensa detrás de ella. La cabecera lleva el procedimiento canario. Cualquiera que cambie esto debería volver a ejecutarlo más bien. que la razón al respecto; el modelo de identidad de Cilium no se comporta de la manera clara La intuición de NetworkPolicy sugiere, y no hay ambiente de escenificación.