Repository navigation
受信の防火壁を外し、DL360 の eno4 の sysctl を消す - #652
Merged
Merged
Conversation
#646 の防火壁で、Pod からノード自身の IP の 443 番(Gateway)が conntrack の invalid として捨てられ、Argo CD が Forgejo を読めず runner も落ちていた (Z440 への移行で気づいた)。ingress: accept でも invalid の規則は残るので、 5 つの文書ごと外し、render.sh の needle も外す。経緯は bootstrap/talos.md。 eno4 の disable_ipv6 は Z440 に無い名前で KernelParamSpecController が失敗し続け、 後から足した sysctl が当たらなかったので消す。 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01T9PbUfqG4pPxus99UeLiJs
|
Claude finished @5ym's task in 31s —— View job レビュー結果要修正が 1 点あります(CI が落ちる見込み)。 不具合
ドキュメントの不整合(要確認)次の文書が、防火壁が今も効いている前提のままです。
「一時的に外してある」旨を 問題なし
セキュリティ
テスト防火壁の検査は上記のとおり、CI を更新しないと落ちます。Pod から |
![claude[bot]](https://avatars.githubusercontent.com/in/1236702?s=60&v=4){kind=small}
| @@ -238,7 +238,6 @@ for n in "kube-apiserver:$K8S" "ghcr.io/siderolabs/kubelet:$K8S" \ | |||
| 'name: cilium' cilium-operator KUBERNETES_SERVICE_PORT 'value: \"7445\"' 'cgroup-root: \"/sys/fs/cgroup\"' \ | |||
| 'kind: GatewayClass' io.cilium/gateway-controller \ | |||
| 'kind: RawVolumeConfig' 'kind: LVMVolumeGroupConfig' 'name: dm_thin_pool' \ | |||
There was a problem hiding this comment.
不具合(CI が落ちる): 防火壁を外したのに、.github/workflows/talos-boot.yml の検査が残っています。
- 284〜300 行「受信の防火壁(外から 443 は通り、10250 は通らない)」は、外から kubelet(10250)に届かないこと(
KW = 000)を要求します。防火壁が無ければ届くのでfailします。 - 319〜323 行は nftables の ingress の既定が
dropであることを要求します。こちらもfailします。
この 2 つを外すか、防火壁を戻すまで無効にしてください(30 行目の 4 枚目の NIC の設定も不要になります)。
5ym
added a commit
that referenced
this pull request
Oct 31, 2026
StorageClass が xfs で、xfs は 300MB より小さいとフォーマットできないので、 128Mi の PVC は Z440 の LVM でマウントできなかった。 #652 で受信の防火壁を外したので、外から 10250 が通らないことの検査も外す。 Claude-Session: https://claude.ai/code/session_01T9PbUfqG4pPxus99UeLiJs Co-authored-by: Claude Opus 5.5 <noreply@anthropic.com>
5ym
added a commit
that referenced
this pull request
Oct 31, 2026
#652 で受信の防火壁を外したので、nftables の ingress の chain は無くなった。 #653 で外から 10250 の検査は外したが、こちらが残っていて boot が落ちていた。 Claude-Session: https://claude.ai/code/session_01T9PbUfqG4pPxus99UeLiJs Co-authored-by: Claude Opus 5.5 <noreply@anthropic.com>
Closed
5ym
added a commit
that referenced
this pull request
Oct 31, 2026
Talos の防火壁は conntrack の invalid を捨てる規則を必ず入れ、Envoy の帰りを NOTRACK に する Cilium と噛み合わず、Pod からノード自身の IP の Gateway が捨てられた(#652)。 hostFirewall を有効にし、ノードを選ぶ CiliumClusterwideNetworkPolicy で外から通す ポートを決める。boot CI で、外から 443 は通り 10250 は通らない・LAN からは通る・ Pod からノードの IP の Gateway に届く、を見る。 Claude-Session: https://claude.ai/code/session_01T9PbUfqG4pPxus99UeLiJs Co-authored-by: Claude Opus 5.5 <noreply@anthropic.com>
This was referenced Oct 31, 2026
This file contains hidden or bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters.
Learn more about bidirectional Unicode characters
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment
Add this suggestion to a batch that can be applied as a single commit.This suggestion is invalid because no changes were made to the code.Suggestions cannot be applied while the pull request is closed.Suggestions cannot be applied while viewing a subset of changes.Only one suggestion per line can be applied in a batch.Add this suggestion to a batch that can be applied as a single commit.Applying suggestions on deleted lines is not supported.You must change the existing code in this line in order to create a valid suggestion.Outdated suggestions cannot be applied.This suggestion has been applied or marked resolved.Suggestions cannot be applied from pending reviews.Suggestions cannot be applied on multi-line comments.Suggestions cannot be applied while the pull request is queued to merge.Suggestion cannot be applied right now. Please check back later.
Z440 への移行の途中で見つかった 2 つ。どちらもノードには当て済み。
repos-forgejoがTLS handshake timeout、forgejo-runner が CrashLoop。ingress: acceptにしても Talos は invalid を捨てる規則を残すので、5 つの文書ごと外した(nf_conntrack_tcp_be_liberalでは直らなかった)。外したあと Pod からcurl -6が通り、ApplicationSet のエラーも消えた。render.shの needle も外し、経緯と戻し方をbootstrap/talos.mdに書いたnet.ipv6.conf.eno4.disable_ipv6を消す。 Z440 にeno4は無く、KernelParamSpecControllerがそこで失敗し続けて、後から足した sysctl が当たらなかった外から 50000 / 10250 / 2379 などがまた見える(どれも認証付き)。Cilium と両立する形を決めたら戻す。
🤖 Generated with Claude Code
https://claude.ai/code/session_01T9PbUfqG4pPxus99UeLiJs