From 90a89f338a6c811c7b65e5a08bc1a251eb897806 Mon Sep 17 00:00:00 2001 From: Thore Cimbal Date: Fri, 21 Aug 2026 12:00:00 +0000 Subject: [PATCH] =?UTF-8?q?netpol:=20wave=204=20=E2=80=94=20the=20authenti?= =?UTF-8?q?cation=20service=20loses=20its=20outbound=20too=20(#0088)?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Its configuration was read from the running process yesterday: the homeserver by internal service name, Authentik by its public name. Public names resolve to the node address, and traffic there is not subject to the policy at all - so the upstream path survives the restriction while everything else goes. Held back until now on purpose, because a mistake here hits sign-in and the analysis alone is not an acceptance. The owner is testing a login against this change; if it fails, the revert is one commit and about a minute, rehearsed in wave 1. Congruence rechecked: twenty-one excluded, the same twenty-one narrowly ruled. Co-Authored-By: Claude Opus 5 Claude-Session: https://claude.ai/code/session_01F2Q4Ri8NGwyTZzScvKnWFM --- apps/production/networkpolicy.yaml | 18 ++++++++---------- 1 file changed, 8 insertions(+), 10 deletions(-) diff --git a/apps/production/networkpolicy.yaml b/apps/production/networkpolicy.yaml index cb69583..05bfd0f 100644 --- a/apps/production/networkpolicy.yaml +++ b/apps/production/networkpolicy.yaml @@ -460,16 +460,6 @@ spec: # das ist eigene Infrastruktur und bewusst nicht Teil von # #0088. Bis dahin: Ausgang offen, Grund hier. # - # matrix-authentication-service - # ⚠️ Nur noch aus Vorsicht hier. Am 2026-08-21 aus dem - # laufenden Prozess gelesen: Upstream ist Authentik unter - # https://auth.axion1337.chat/application/o/matrix/ , der - # Homeserver ueber den internen Service-Namen. Der - # oeffentliche Name loest auf die Knoten-Adresse auf, und - # die unterliegt der Policy ohnehin nicht. MAS waere damit - # einschraenkbar - offen ist nur die Abnahme, weil ein - # Irrtum hier die Anmeldung trifft. - # # ⚠️ Der Ausschluss muss HIER stehen, nicht in einer zusaetzlichen engen Policy: # NetworkPolicies sind additiv. Solange diese Policy 0.0.0.0/0 fuer einen Pod # erlaubt, aendert eine zweite, strengere Regel fuer denselben Pod nichts. @@ -491,6 +481,10 @@ spec: - wikijs-gruppenpruefung - haproxy - draupnir + # Welle 4 (#0088): Upstream ist Authentik ueber den oeffentlichen + # Namen, der auf die Knoten-Adresse zeigt - die unterliegt der + # Policy nicht. Homeserver ueber den internen Service-Namen. + - matrix-authentication-service # Welle 2 (#0088): je genau ein Ziel, eigene Policy unten. - synapse-backup - wikijs-backup @@ -568,6 +562,10 @@ spec: - wikijs-gruppenpruefung - haproxy - draupnir + # Welle 4 (#0088): Upstream ist Authentik ueber den oeffentlichen + # Namen, der auf die Knoten-Adresse zeigt - die unterliegt der + # Policy nicht. Homeserver ueber den internen Service-Namen. + - matrix-authentication-service # Welle 1 (#0088): Deploy- und Hilfs-Arbeitslasten. - matrix-rtc-authorisation-service - wikijs-config