но я чёт ещё не уверен. Вот недавно словил баг. cilium агент запустился, и успешно проходил ready/live проверки. Но сеть на ноде не работала. Зашёл в pod агента, monitor работает, начал другие команды ковырять, половина выдаёт что не может подключиться к cilium.sock.И действительно сокета не было, перезапустил pod, всё завелось. В общем пока к стабильности есть вопросы, а в kube-router достаточно стабильно живу

Ребят вопрос к использующим cilium.

Не могу понять эта баг или фича.

Накатил свою обычную сетевую потилтику для kube-system: https://pastebin.com/ZJqF0FHq
А у меня вся сеть отвалилась для запросов внутри kube-system. cilium агенты начинают перезапускаться по livenessProbe, так как не могут подключиться к etcd. Начал смотреть хаблом, вижу такое
10.245.2.79:8920 -> kube-system/coredns-f9fd979d6-4x7fq:53 Policy denied DROPPED (TCP Flags: SYN)

Не нахожу pod'ов c таким ip адресом (10.245.2.79) . Но затем нахожу такой ip адрес на ноде в аннотациях: io.cilium.network.ipv4-cilium-host: 10.245.2.79. Cilium работает в режиме туннелинга vxlan. Удивляюсь что внутренний ip ноды выдается из podCIDR ну да ладно. Пусть будет так.

Далее захожу в pod cilium агент'а который висит на том же хосте что и coredns-f9fd979d6-4x7fq. И в cilium monitor наблюдаю:

xx drop (Policy denied) flow 0x0 to endpoint 311, identity 6->9326168: 10.245.2.79:8920 -> 10.245.0.145:53 tcp SYN
identity 6 это reserved: remote-host

делаю трассировку…