Cilium
3 篇文章
- 给 ArgoCD 换 TLS 入口：Cilium Gateway、TLSRoute 与一个绕不过的 ALPN 坑一个「让 argocd CLI 用上原生 gRPC」的小目标，最后拆成了三代问题：Pangolin 的 Resource Auth 把 CLI 302 掉、h2c 上游让 Traefik 返回 500、--insecure 写死在 args 里导致新 Pod CrashLoop、Passthrough 与 Terminate 抢 443、以及最要命的一条——ArgoCD 不广播 ALPN h2，任何 L7 代理都不可能给它原生 gRPC。把两版脚本、Pangolin 侧步骤、证书与回滚都写清楚。
- 一台跑着 Docker 和 Pigsty 的机器，怎么加进现有 Kubernetes 集群把一台不干净的节点（Docker 29 + 10 个业务容器 + Pigsty 单机 PostgreSQL）以 worker 身份加入 kubeadm 1.36 + Cilium 1.20 集群的完整过程：共用 containerd 的前提、网段与端口冲突排查、ufw 转发、pause 镜像架构坑、OpenEBS 在没有空闲磁盘时的选择，以及为什么共存只能是过渡态。
- 网络策略就是鉴权：用 Cilium CNP 守住「只有网关能连后端」这条线后端相信网关注入的身份头，那「谁能连到后端」就不是防火墙问题而是鉴权问题。从一次伪造身份的 curl 讲起：为什么需要 CiliumNetworkPolicy、怎么装、怎么分别应用在前端 / 网关 / 后端、以及开发阶段怎么开一个只属于 dev 的口子而不让它漏进生产——含 Hubble 抓到的丢包证据与一条 canary。