很多人以为 DNS 就是"配几个 nameserver 就完事"，但普通 DNS 查询是明文走 UDP 53：一旦网络被监听，谁在查什么域名、访问什么服务就一览无余，还能被中间设备劫持/污染。加密 DNS（DNS-over-HTTPS/DoH = DoH、DN...

自托管规模长到"不止一个 K8s 集群"（异地容灾、隔离的生产/测试、或给不同站点各起一丛）后，问题就变成：配置要在多集群间保持一致的复制粘贴、跨集群没法看一个全局视图、发布要逐集群操作。多集群管理与联邦（federation）解决的就是"多个 K8s 集群的...

etcd 是 K8s 的"大脑"——集群状态全在里面。前面提过它三节点、Raft 与健康排查的基础，这篇把它做深到"能长期稳着运维、坏了能救"的层面：数据膨胀与压缩（compact/defrag）、备份与恢复、节点替换、以及高负载/IO 与成员变更的坑。运维 ...

"在防火墙里面=可信"这种旧思路，在众多专门攻"内网横向""凭证/密钥偷取"的威胁面前越来越不成立：一旦有台"在内部"的机器/凭证被拿下，就相当于获得了对全网免检的通行证。零信任（Zero Trust）的核心思想是"持续验证，不再默认信任网络位置"：任何访问都...

CI 把镜像构建出来、推进仓库，只完成了"产线的一半"——真正想让代码"一键生效"，还要 CD（持续部署）把新镜像推送到运行环境。很多人卡在"CI 只到出镜像为名单、部署全靠手动 kubectl/set replace"，或"手写了脚本但一换人/环境就断"。把...

把多个域名/子域(Host)接进 K8s Ingress、并给它们自动签装证书，是自托管的关键编排能力。很多人"每个服务手写一个 Ingress + 一堆证书管理"忙得冒烟。Ingress 的进阶玩法是"基于 Host 路由 + 证书托管（cert-manag...

K8s 集群默认"Pod 之间所有流量全通"——这在一台机器里挺好调，但一旦被攻破或出误连，横向移动没有拦截。前面有文档引述过"网络策略（NetworkPolicy）+ CNI 能收口"的基本概念，这篇把 NetworkPolicy 做深：它到底怎么按"标签选...

镜像一旦多起来，"仓库"本身就成了需要管理的资产：谁在拉哪些镜像、哪些镜像有高危漏洞、镜像仓库是公网开放还是只给内网、版本保留策略（磁盘被占满/垃圾镜像堆积）。Harbor 是自托管最成熟的镜像仓库方案（对企业级/多项目/合规场景尤其合适），它在一个仓库上提供...

自托管一旦有"一个请求穿过多个服务"（前端 → 网关 → 多个后端 → 数据库/缓存），出问题时"到底是哪个环节慢"就成了一团浆糊：每个服务都说自己迟,却拼不出整条链路的时序。OpenTelemetry（OTel）是"统一可观测性"的标准框架：它用 trace...

应用流行"高可用 + 省资源"，靠"人半夜起来加副本"既不现实也容易手忙脚乱。Kubernetes 的 HPA（Horizontal Pod Autoscaler，水平 Pod 自动扩缩）就是让"副本数随负载自动涨落"的机制：依据指标（CPU/内存/自定义/外...