- Expédié
- 3 août 2026 à 03:10 UTC
- Auteur
- Kamo
- Commite
- 07a5ca0
Renauque ce que 8f6c672 est retourné, sous la seule forme qui fonctionne réellement ici. La tentative précédente a échoué parce qu'une cybernétique NetworkPolicy ne peut pas exprimer cette la topologie du groupe. Trois des quatre dépendances critiques de SecurityService vivent le nœud, non dans le réseau de gousses - cockroachdb-0 et nats-k1m1-0 run hostNetwork, et MinIO est un processus hôte - donc un podSelector ne peut jamais les égaler. Le une partie non évidente, et la raison pour laquelle la première tentative de patch a également échoué, est qu'un ipBlock pour le sous-réseau ne le fixe pas non plus: Cilium classe le noeud comme l'identité réservée d'hôte/noeud de distance et les règles de la CIDR ne correspondent pas délibérément les identités réservées. à l'Entities est la seule construction qui l'exprime. Les deux modes de défaillance ont été reproduits contre un canary pod jetable avant d'écrire Cela plutôt que contre la production. Le canari portait la même règle énoncée sous une étiquette distincte, qui est la façon dont la version ipBlock a été prise en train de bloquer silencieusement CockroachDB, NATS et MinIO tout en ayant l'air parfaitement raisonnable. Vérifié sur le canari, puis confirmé sur SecurityService sans redémarrage et non erreurs de connexion: ALLOW dns, crdb:26257, nats:4222, minio:9000, redis:6379, frères et sœurs:80, monde:443 Noeud BLOCK:22, noeud:443, kube-api:443, redis-via-node:6379, 169.254.169.254, loopback:9000 Les quatre derniers sont le point: un SSRF dans le résolveur n'a plus nulle part où aller. Le la garde-code reste la commande principale - c'est la seule couche qui comprend DNS reliure - et c'est la défense derrière elle. L'en-tête porte la procédure canari. Quiconque change cela devrait plutôt le refaire que la raison à son sujet; le modèle d'identité de Cilium ne se comporte pas comme simple L'intuition de NetworkPolicy suggère, et il n'y a pas d'environnement d'étape.