진짜 Cilium 확인

문항 6개. 정답과 해설은 풀어 본 뒤에 보여 드립니다.

1. Cilium 의 L7 정책이 요청을 막으면 클라이언트가 받는 것은?

   1. Envoy 가 응답을 만들어 403 이 돌아온다
   2. 패킷이 그대로 버려져 연결 타임아웃이 난다
   3. TCP 단계에서 끊겨 connection refused 가 난다
   4. 경로를 못 찾은 것으로 처리되어 404 가 돌아온다

2. Cilium 아이덴티티가 IP 기반 정책보다 나은 이유로 가장 정확한 것은?

   1. 패킷을 암호화해 주므로 정책 없이도 통신이 보호되어서
   2. 커널을 거치지 않고 사용자 공간에서만 판단해 더 빨라서
   3. 라벨에서 나오므로 재시작해도 안 바뀌고 규칙 수가 아이덴티티 수를 따라서
   4. 네임스페이스 경계를 무시하고 클러스터 전체에 한 번에 걸려서

3. `toFQDNs` 정책이 동작하려면 반드시 함께 필요한 것은?

   1. 클러스터를 잇는 ClusterMesh 설정이 함께 있어야 한다
   2. DNS 질의를 Cilium 이 볼 수 있도록 DNS 자체를 허용하는 규칙
   3. kube-proxy 가 켜져 있어야 이름이 IP 로 풀린다
   4. Ingress 컨트롤러가 있어야 바깥 이름을 해석할 수 있다

4. L7 정책 아래에서 허용한 경로에 요청했더니 404 가 왔다. 어떻게 해석해야 하나?

   1. 정책이 막았다
   2. 정책은 통과했고 서버에 그 자원이 없다
   3. Envoy 가 죽었다
   4. DNS 문제다

5. 정책이 막고 있는지 알아볼 때 정책을 하나씩 지워 보는 대신 할 일은?

   1. 파드를 재시작해 아이덴티티 번호를 새로 받는다
   2. CiliumNetworkPolicy 를 전부 지웠다가 한꺼번에 다시 넣는다
   3. kube-proxy 를 켜서 경로를 우회한다
   4. `hubble observe --type policy-verdict` 로 판정을 직접 본다

6. 같은 라벨을 가진 파드가 1000개일 때 Cilium 정책 규칙의 규모는?

   1. 파드마다 하나씩 1000개가 된다
   2. 노드 수에 비례해 늘어난다
   3. 아이덴티티 하나에 대한 규칙이라 파드 수와 무관하다
   4. IP 가 바뀔 때마다 규칙이 처음부터 다시 계산된다