真 Cilium 确认

Cilium 의 L7 정책이 요청을 막으면 클라이언트가 받는 것은?

• Envoy 가 응답을 만들어 403 이 돌아온다
• 패킷이 그대로 버려져 연결 타임아웃이 난다
• TCP 단계에서 끊겨 connection refused 가 난다
• 경로를 못 찾은 것으로 처리되어 404 가 돌아온다

Cilium 아이덴티티가 IP 기반 정책보다 나은 이유로 가장 정확한 것은?

• 패킷을 암호화해 주므로 정책 없이도 통신이 보호되어서
• 커널을 거치지 않고 사용자 공간에서만 판단해 더 빨라서
• 라벨에서 나오므로 재시작해도 안 바뀌고 규칙 수가 아이덴티티 수를 따라서
• 네임스페이스 경계를 무시하고 클러스터 전체에 한 번에 걸려서

toFQDNs 정책이 동작하려면 반드시 함께 필요한 것은?

• 클러스터를 잇는 ClusterMesh 설정이 함께 있어야 한다
• DNS 질의를 Cilium 이 볼 수 있도록 DNS 자체를 허용하는 규칙
• kube-proxy 가 켜져 있어야 이름이 IP 로 풀린다
• Ingress 컨트롤러가 있어야 바깥 이름을 해석할 수 있다

L7 정책 아래에서 허용한 경로에 요청했더니 404 가 왔다. 어떻게 해석해야 하나?

• 정책이 막았다
• 정책은 통과했고 서버에 그 자원이 없다
• Envoy 가 죽었다
• DNS 문제다

정책이 막고 있는지 알아볼 때 정책을 하나씩 지워 보는 대신 할 일은?

• 파드를 재시작해 아이덴티티 번호를 새로 받는다
• CiliumNetworkPolicy 를 전부 지웠다가 한꺼번에 다시 넣는다
• kube-proxy 를 켜서 경로를 우회한다
• hubble observe --type policy-verdict 로 판정을 직접 본다

같은 라벨을 가진 파드가 1000개일 때 Cilium 정책 규칙의 규모는?

• 파드마다 하나씩 1000개가 된다
• 노드 수에 비례해 늘어난다
• 아이덴티티 하나에 대한 규칙이라 파드 수와 무관하다
• IP 가 바뀔 때마다 규칙이 처음부터 다시 계산된다