fix(netpol): git SSH par le NodePort du nœud de Forgejo #156

Merged

slanski merged 1 commit from fix/netpol-forgejo-ssh-nodeport-local into main

2026-09-28 05:16:30 +00:00

slanski commented

2026-09-28 05:16:25 +00:00

Owner

Premier passage du banc (2026-09-28, 05:10) : retour arrière automatique,
git SSH coupé par 82.165.27.6 (master-3, nœud du pod Forgejo), intact par
les deux autres masters.

Quand le NodePort (externalTrafficPolicy Cluster) livre au pod du nœud
d'arrivée, kube-router filtre avant la traduction de source (POSTROUTING) :
il voit l'adresse Internet du client, pas une adresse du nœud. Seul le
passage par un autre nœud arrive avec l'adresse flannel-wg de ce nœud.

La règle SSH (2222) accepte donc Internet hors réseaux internes du cluster
(10.42.0.0/16, 10.43.0.0/16 : les pods ne passent toujours pas), plus les
adresses flannel-wg des masters. Le port 8000 (état CNPG par le proxy de
l'API) reste réservé à ces dernières. Simulé : client Internet et master
autorisés sur 2222, pod d'un autre namespace et k3s-ci-1 bloqués.

Premier passage du banc (2026-09-28, 05:10) : retour arrière automatique, git SSH coupé par 82.165.27.6 (master-3, nœud du pod Forgejo), intact par les deux autres masters. Quand le NodePort (externalTrafficPolicy Cluster) livre au pod du nœud d'arrivée, kube-router filtre avant la traduction de source (POSTROUTING) : il voit l'adresse Internet du client, pas une adresse du nœud. Seul le passage par un autre nœud arrive avec l'adresse flannel-wg de ce nœud. La règle SSH (2222) accepte donc Internet hors réseaux internes du cluster (10.42.0.0/16, 10.43.0.0/16 : les pods ne passent toujours pas), plus les adresses flannel-wg des masters. Le port 8000 (état CNPG par le proxy de l'API) reste réservé à ces dernières. Simulé : client Internet et master autorisés sur 2222, pod d'un autre namespace et k3s-ci-1 bloqués.

slanski added 1 commit

2026-09-28 05:16:25 +00:00

fix(netpol): git SSH par le NodePort du nœud de Forgejo 31308f314c

Premier passage du banc (2026-09-28, 05:10) : retour arrière automatique,
git SSH coupé par 82.165.27.6 (master-3, nœud du pod Forgejo), intact par
les deux autres masters.

Quand le NodePort (externalTrafficPolicy Cluster) livre au pod du nœud
d'arrivée, kube-router filtre avant la traduction de source (POSTROUTING) :
il voit l'adresse Internet du client, pas une adresse du nœud. Seul le
passage par un autre nœud arrive avec l'adresse flannel-wg de ce nœud.

La règle SSH (2222) accepte donc Internet hors réseaux internes du cluster
(10.42.0.0/16, 10.43.0.0/16 : les pods ne passent toujours pas), plus les
adresses flannel-wg des masters. Le port 8000 (état CNPG par le proxy de
l'API) reste réservé à ces dernières. Simulé : client Internet et master
autorisés sur 2222, pod d'un autre namespace et k3s-ci-1 bloqués.

slanski merged commit f56e6ca562 into main

2026-09-28 05:16:30 +00:00

slanski deleted branch fix/netpol-forgejo-ssh-nodeport-local

2026-09-28 05:16:30 +00:00

slanski referenced this pull request from a commit

2026-09-28 05:16:30 +00:00

Merge pull request 'fix(netpol): git SSH par le NodePort du nœud de Forgejo' (#156) from fix/netpol-forgejo-ssh-nodeport-local into main