把多个域名/子域(Host)接进 K8s Ingress、并给它们自动签装证书，是自托管的关键编排能力。很多人"每个服务手写一个 Ingress + 一堆证书管理"忙得冒烟。Ingress 的进阶玩法是"基于 Host 路由 + 证书托管（cert-manag...

K8s 集群默认"Pod 之间所有流量全通"——这在一台机器里挺好调，但一旦被攻破或出误连，横向移动没有拦截。前面有文档引述过"网络策略（NetworkPolicy）+ CNI 能收口"的基本概念，这篇把 NetworkPolicy 做深：它到底怎么按"标签选...

当你的自托管服务多到一定程度，开始认真评估 K3s/Kubernetes 时，常常会发现"挂个 Pod"这种基础不难，难的是两件事：一是"流量怎么进"——多个服务以许多 Pod/IP 暴露在外，总不能每个都裸端口或改路由，需要一个统一的入口把外部流量按规则分发...

Kubernetes 在很多人眼里是"大厂才玩得起的东西"：一堆 master + worker、etcd、各种网络插件，跑起来就吃掉几 GB 内存，还要一条 DDL 手册才能配置明白。其实对自托管、边缘、实验室这类场景，有一个很轻的选择叫 K3s——它就是给...