From 5a105a241421dc72d847b571793a66e9f18b2a3d Mon Sep 17 00:00:00 2001 From: Ruk Doe Date: Sat, 31 Oct 2026 23:27:02 +0900 Subject: [PATCH] =?UTF-8?q?boot=20CI=20=E3=81=AE=20ingress=20=E3=81=AE=20c?= =?UTF-8?q?hain=20=E3=81=AE=E6=97=A2=E5=AE=9A=E3=81=8C=20drop=20=E3=81=8B?= =?UTF-8?q?=E3=81=AE=E6=A4=9C=E6=9F=BB=E3=82=82=E5=A4=96=E3=81=99?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit #652 で受信の防火壁を外したので、nftables の ingress の chain は無くなった。 #653 で外から 10250 の検査は外したが、こちらが残っていて boot が落ちていた。 Co-Authored-By: Claude Opus 5.5 Claude-Session: https://claude.ai/code/session_01T9PbUfqG4pPxus99UeLiJs --- .github/workflows/talos-boot.yml | 8 +------- 1 file changed, 1 insertion(+), 7 deletions(-) diff --git a/.github/workflows/talos-boot.yml b/.github/workflows/talos-boot.yml index 6f9575ea..19da7b3d 100644 --- a/.github/workflows/talos-boot.yml +++ b/.github/workflows/talos-boot.yml @@ -315,13 +315,7 @@ jobs: [ "$GOT" = "$WANT" ] || fail "bond0 の MAC が $GOT(talos.sops.yaml は $WANT)" echo " bond0 hardwareAddr: $GOT" - # 受信の防火壁(talos.sops.yaml の NetworkDefaultActionConfig)が既定で捨てる形で載っているか。 - # 通す側は、ここまでの talosctl(50000)・kubectl(6443)・curl(80 / 443)が SLIRP の 10.0.0.1 から通ったことで見ている - talosctl get nftableschains -o yaml > /tmp/nft.yaml - P=$(yq -r 'select(.metadata.id == "ingress") | .spec.policy' /tmp/nft.yaml) - echo " nftables の ingress の既定: $P" - [ "$(echo "$P" | tr 'A-Z' 'a-z')" = drop ] || { cat /tmp/nft.yaml; fail "ingress の chain が既定で捨てる形(drop)でない"; } - + # 受信の防火壁は 2026-10-31 から外してある(bootstrap/talos.md)。戻したら、ingress の chain の既定が drop かの検査も戻す(#646) # 以下は forwarding=1 のあとで見ないと意味が無い(talos.sops.yaml の accept_ra) F=$(talosctl read /proc/sys/net/ipv6/conf/bond0/forwarding) [ "$F" = 1 ] || fail "bond0 の forwarding が $F。前提が成り立っていない"