- Expédié
- 5 septembre 2026 à 15:05 UTC
- Auteur
- Kamo
- Commite
- 86421e8
Le prochain n'est pas trouvé est une PAGE. Il rend à travers la mise en page racine, qui se résout l'organisation du locataire sur le réseau et en sérialise l'ensemble du shell de l'application et catalogue de messages : 1 450 309 octets et 0,5 à 0,75 dollar de système de rendu de serveur, pour /backup.new.zip. Donc un scanner de produit marchant sur une liste de fichiers de secours n'a pas Obtenez des 404s bon marché, il a obtenu des rendus d'application complets, et Node exécute une boucle de requête par processus. Le 2026-09-05, c'était 1 033 demandes de ce type en 21 minutes. La sonde de vie sur /api/santé retourne une chaîne fixe et ne peut toujours pas être répondu à l'intérieur de son 5s temporisation, donc kubelet a redémarré les deux pods pour être occupé plutôt que coincé. Chacun des demandes du scanner a été rejetée - 572 x 404, 461 x 499 - Rien n'a été atteint, c'était cher, pas dangereux. Le mandataire répond maintenant à ces chemins eux-mêmes avec une chaîne fixe, en utilisant une liste DENY des extensions et préfixes plutôt qu'une liste d'autorisations de routes réelles: une autorisation liste doit avoir raison sur chaque page que cette application a et à chaque élaboration qu'elle grandit, et Le fait d'avoir tort sert un 404 pour un écran de travail. DÉLIVRÉLIMENT non appliqué sous /api. Ces itinéraires répondent déjà à une inconnue dans quelques dizaines d'octets sans rendu, et ils portent des domaines locataires à l'intérieur le chemin. Les domaines de premier niveau sont de vrais domaines de premier niveau, donc une règle de suffixe là-bas refuserait une consultation légitime de locataire - pour le client qui possède un tel nom. Les épingles d'essai qui, de ce fait, ne sont pas adroites plus tard. Deux autres choses que cet incident a révélé: La mise en page a cherché sa propre organisation sur l'Internet PUBLIC. Il a pris la parole où l'hôte est le nom d'hôte public du locataire, donc chaque serveur rend le cluster gauche, traversé à notre bord et est revenu par Traefik pour atteindre un gestionnaire dans le processus qui a passé l'appel - un TLS poignée de main et deux traversées de Traefik par page, comptés contre le propriétaire du locataire limite de taux. Maintenant sur la boucle, portant x-warded-host explicitement parce que le Le gestionnaire tire de la base API en amont et en résoudrait autrement tous les locataire de la plate-forme par défaut. Un hôte qui ne se résout pas pour ne pas être une organisation est également mérité brièvement: un de ces locataires a produit 538 recherches en amont en 21 minutes, tous ré-demander une question avec la même réponse. Et le conteneur n'a pas déclaré aucune ressource, qui n'est pas "illimité" mais BestEffort - la première classe QoS expulsée et la dernière CPU donnée, sur un nœud également exécuter l'inférence de traduction à huit cœurs. Une limite de CPU est encore délibérément o omet: le laxage par le CFS décroche la boucle d'événements en quanta de 100 ms, et un étrangleur Rendement de la RSS ressemble exactement à un coin de tête, ce qui provoquerait les redémarrages mêmes cela empêche.