- Navios
- 23 de setembro de 2026 às 13:16 UTC
- Autor
- Kamo
- Enviar
- 61305e4
O YugabyteDB e o NATS são executados na rede de máquinas do k1m1, para que cada pod em cada espaço de nomes possa abrir cada Porto que eles ouvem. As portas do cliente autenticam (YSQL:5433 senha + TLS, NATS:4222 kamo svc desde 216f6bb) e ficar aberto. O resto não: Yb-master RPC:7100 e Yb-tserver RPC:9110 take TLS sem certificado de cliente — yb-admin/yb-client obter toda a base de dados sem senha — YCQL :9042 não tem autenticação, e as portas web (:7000,:9010,:12000, :13000, NATS:8222) publica bandeiras, metadados e o texto do SQL em execução. Um pod no mail/, sistema de traefik/, kamo-universo/, cluster-services/, ratestack/ ou um computador hospedado tinha um caminho direto para tudo. **************** é um CliumClusterwideNetwork Policy que nega aqueles portas para as identidades dos nós para cada espaço de nomes, exceto kamo, sistema kube, monitoramento (Prometheus raspa : 9010 e :13000) e desktop (o administrador do proprietário VM). activardefaultDeny false mantém-na uma subtracção pura. Canário verificado, em seguida, verificado ao vivo de `default` (bloqueado) e `kamo` (aberto); cada vagem nos espaços de nomes afetados permaneceu pronta e todas as 55 conexões NATS mantidas. Aplicado à mão antes deste commit. A LAN não é coberta por nenhuma política pod — vinculando esses portos para loopback precisa de um YugabyteDB reiniciar e é deixado para uma janela de manutenção.