Was du nicht tun solltest
toFQDNs ohne DNS-Rule: ohne
rules.dns-Sichtbarkeit kein FQDN-zu-IP-Mapping,
Policy blockt oder läuft leer.
kube-proxy-frei ohne k8sServiceHost/Port: Agent erreicht den API-Server nicht, Cluster-Bootstrap hängt.
CIDR-Regeln für Cluster-Traffic:
toCIDR ist für externe Ziele gedacht; Pod-IPs
sind flüchtig, Labels/Identities selektieren.
Default-Modus falsch verstanden: ohne
selektierende Regel ist alles offen; die erste Regel schaltet den
Endpoint auf default-deny (je Richtung), sofern sie nicht
enableDefaultDeny abschaltet.
WireGuard ohne UDP 51871: Nodes müssen sich auf dem Port erreichen, sonst kein Tunnel.
--reuse-values beim Minor-Upgrade:
neue Chart-Werte fehlen, das Template rendert falsch. Werte per
helm get values sichern, auf umbenannte Keys
prüfen, mit -f übergeben.
IPsec-Keys während des Upgrades rotieren: erst alle Nodes auf gleiche Cilium-Version, dann rotieren.
ClusterMesh mit überlappenden PodCIDRs
oder doppelter cluster.id: Verbund kommt nicht
sauber hoch, vorab planen.
kube-proxy-Replacement im laufenden Cluster
umschalten: bestehende Verbindungen brechen ab. Wer
kube-proxy unter kubeadm entfernt, löscht auch die ConfigMap
kube-proxy, sonst kommt kube-proxy beim nächsten
Upgrade zurück.