[5ym]

#658・#659 をクラスタに当てて確かめたので、docs を合わせる。

• docs/router.md・bootstrap/talos.md・docs/talos.md・recovery/README.md: ノードの受信の防火壁は Cilium の Host Firewall(deploy/cluster/host-firewall.yaml)。Talos の防火壁を使わない理由(conntrack の invalid と Cilium の NOTRACK)を書く
• ROADMAP.md: 防火壁と HuC を済みに。AMT は eno1 を HUMAX 側に挿し替えて 10.10.0.3 にする案を書いておく

当てたあとに確かめたこと:

• 外(J:COM の回線)から 50000・10250・2379 は時間切れ(Cilium のログで Policy denied)、6443 は 401、Web は 200、DoT は証明書の検証まで通る
• Pod から fj.doany.io が IPv6 で 200、Argo CD の ApplicationSet のエラーなし
• HuC は authenticated for all workloads。QSV の ICQ が AV1・H.264 で通る(H.265 の ICQ は DG2 では通らない)

🤖 Generated with Claude Code

https://claude.ai/code/session_01T9PbUfqG4pPxus99UeLiJs

[claude]

Claude finished @5ym's task in 18s —— View job

---

レビュー結果

docs のみの変更で、問題は見当たりません。

確認した点:

• deploy/cluster/host-firewall.yaml は実在し、docs/router.md・bootstrap/talos.md・docs/talos.md・recovery/README.md の参照先と一致しています。
• Talos の防火壁を使わない理由(conntrack の invalid と Cilium の NOTRACK)は具体的に書かれています。nf_conntrack_tcp_be_liberal では直らないことと、feat(talos): ノードの受信の防火壁 (Ingress Firewall) を足す #646 → 受信の防火壁を外し、DL360 の eno4 の sysctl を消す #652 → ノードの受信の防火壁を Cilium の Host Firewall で作る #658 の経緯も残っています。
• bootstrap/talos.md の「--mode=try で確定させるとき」の節は、防火壁を Talos で当てていた頃の事故の記録です。今は Talos の防火壁を使わないので、現状とは食い違います。ただ、--mode=try 全般の注意として今も有効なので、残して問題ありません。
• ROADMAP の防火壁と HuC は済みになっています。AMT の eno1 挿し替え案も、既存の記述と矛盾しません。

指摘事項はありません。

なお、PR 本文の動作確認(外からの 50000・10250・2379 が時間切れ、6443 が 401、Pod から IPv6 で 200)は、私の側では再現できていません。