cinnae/infrastructure
Watch
3
0
Fork
You've already forked infrastructure
 0
Code Issues Pull requests Projects Releases Packages 2 Wiki Activity Actions

fix(netpol): monitoring réservé à monitoring sur OVH #172

Merged
slanski merged 1 commit from fix/networkpolicy-monitoring-ovh into main 2026-09-29 04:59:50 +00:00
Conversation 0 Commits 1 Files changed 2 +95 -4
slanski commented 2026-09-29 04:59:44 +00:00
Owner
Copy link

Même faille qu'IONOS avant le 2026-09-27 : sans règle, tout pod d'un namespace à sortie
libre (vault, kube-system, cert-manager, cnpg-system, kyverno-system, sops-system,
ingress-nginx) joignait Prometheus, Alertmanager et ses silences, kube-state-metrics, le
relais ntfy, l'exporteur blackbox (relais vers n'importe quelle adresse) et Grafana.

monitoring/networkpolicy.prod-ovh.yaml : les pods de monitoring n'acceptent que les pods de
monitoring. Le webhook de l'opérateur reste ouvert. Prometheus, Alertmanager et Grafana
acceptent les konnectivity-agent de kube-system : sur MKS, l'API managée par OVH joint les
pods par eux (proxy de l'API). Relevé Hubble de 15 min : hors de monitoring, seuls l'hôte
du nœud (sondes du kubelet) et les konnectivity-agent ouvrent des connexions vers ces pods.

Application par le script de maintenance 2026-09-29-ovh-networkpolicy-monitoring.sh (banc à
connexions neuves, retour arrière automatique).

Même faille qu'IONOS avant le 2026-09-27 : sans règle, tout pod d'un namespace à sortie libre (vault, kube-system, cert-manager, cnpg-system, kyverno-system, sops-system, ingress-nginx) joignait Prometheus, Alertmanager et ses silences, kube-state-metrics, le relais ntfy, l'exporteur blackbox (relais vers n'importe quelle adresse) et Grafana. monitoring/networkpolicy.prod-ovh.yaml : les pods de monitoring n'acceptent que les pods de monitoring. Le webhook de l'opérateur reste ouvert. Prometheus, Alertmanager et Grafana acceptent les konnectivity-agent de kube-system : sur MKS, l'API managée par OVH joint les pods par eux (proxy de l'API). Relevé Hubble de 15 min : hors de monitoring, seuls l'hôte du nœud (sondes du kubelet) et les konnectivity-agent ouvrent des connexions vers ces pods. Application par le script de maintenance 2026-09-29-ovh-networkpolicy-monitoring.sh (banc à connexions neuves, retour arrière automatique).
Même faille qu'IONOS avant le 2026-09-27 : sans règle, tout pod d'un namespace à sortie
libre (vault, kube-system, cert-manager, cnpg-system, kyverno-system, sops-system,
ingress-nginx) joignait Prometheus, Alertmanager et ses silences, kube-state-metrics, le
relais ntfy, l'exporteur blackbox (relais vers n'importe quelle adresse) et Grafana.

monitoring/networkpolicy.prod-ovh.yaml : les pods de monitoring n'acceptent que les pods de
monitoring. Le webhook de l'opérateur reste ouvert. Prometheus, Alertmanager et Grafana
acceptent les konnectivity-agent de kube-system : sur MKS, l'API managée par OVH joint les
pods par eux (proxy de l'API). Relevé Hubble de 15 min : hors de monitoring, seuls l'hôte
du nœud (sondes du kubelet) et les konnectivity-agent ouvrent des connexions vers ces pods.

Application par le script de maintenance 2026-09-29-ovh-networkpolicy-monitoring.sh (banc à
connexions neuves, retour arrière automatique).
slanski deleted branch fix/networkpolicy-monitoring-ovh 2026-09-29 04:59:50 +00:00
Sign in to join this conversation.
Reviewers
No reviewers
Labels
Clear labels
No items
No labels
Milestone
Clear milestone
No items
No milestone
Projects
Clear projects
No items
No project
Assignees
Clear assignees
No assignees
1 participant
Notifications
Due date
The due date is invalid or out of range. Please use the format "yyyy-mm-dd".

No due date set.

Dependencies

No dependencies set

Reference
cinnae/infrastructure!172
No description provided.