sorb/axion1337.chat-gitops
1
0
Fork 0
Code Issues Pull Requests Packages Projects 1 Releases 24 Wiki Activity

netpol: say in the manifest why the last five keep their outbound (#0088)

Browse Source 
An open egress that nobody explains reads as neglect. These five are
decisions, so the reasons sit at the rule, where the next reader looks -
not in an issue and not in an ADR alone.

Synapse federates to arbitrary servers and previews addresses users pick;
there is no list to write, and the right control sits a level higher in
url_preview_ip_range_blacklist. Coturn and the SFU relay media to arbitrary
clients - that is the service. ClamAV pulls signatures from a CDN, and
pinning would break the update silently, which is the failure class this
project keeps finding.

MAS is now only there out of caution, and the comment says so. Read from
the running process today: its upstream is Authentik at its public name and
the homeserver at the internal service name. The public name resolves to
the node address, which the policy does not cover anyway - so MAS is
restrictable and only the sign-off is missing, because a mistake there hits
sign-in.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01F2Q4Ri8NGwyTZzScvKnWFM
This commit is contained in:
Thore Cimbal
2026-08-21 12:00:00 +00:00
co-authored by Claude Opus 5
parent d5b59eb5e9
commit c7fe0488e2
1 changed files with 31 additions and 1 deletions
Download Patch File Download Diff File Expand all files Collapse all files
apps/production/networkpolicy.yaml
+31 -1
View File
@@ -438,7 +438,37 @@ metadata:
name: egress-block-metadata
namespace: matrix
spec:
# Waehlt alle Pods AUSSER denen, die gar keinen Ausgang brauchen (#0088).
# Waehlt alle Pods AUSSER denen mit eigener, engerer Regel (#0088).
#
# WER HIER NOCH DRIN STEHT, UND WARUM (Stand 2026-08-21, Welle 4):
#
# synapse-main Foederation zu beliebigen Matrix-Servern und URL-Vorschau
# zu Adressen, die Nutzer bestimmen. Ein Ziel laesst sich
# nicht angeben. Die richtige Kontrolle sitzt eine Ebene
# hoeher: url_preview_ip_range_blacklist in synapse-values,
# seit 2026-08-20 inkl. 169.254.0.0/16 und 100.64.0.0/10.
#
# coturn Relais fuer Medien zu beliebigen Clients - das IST der
# matrix-rtc-sfu Dienst. Eine Zielliste gaebe es nur, wenn man wuesste,
# wer anruft.
#
# clamav Signaturen von database.clamav.net. Loest auf Cloudflare
# auf, Adressen wechseln. Pinnen braeche den Abgleich STILL
# - Signaturen veralten, der Dienst laeuft weiter, niemand
# merkt es. Cloudflare-Bereiche zu erlauben waere keine
# Einschraenkung. Besserer Weg waere ein interner Spiegel;
# das ist eigene Infrastruktur und bewusst nicht Teil von
# #0088. Bis dahin: Ausgang offen, Grund hier.
#
# matrix-authentication-service
# ⚠️ Nur noch aus Vorsicht hier. Am 2026-08-21 aus dem
# laufenden Prozess gelesen: Upstream ist Authentik unter
# https://auth.axion1337.chat/application/o/matrix/ , der
# Homeserver ueber den internen Service-Namen. Der
# oeffentliche Name loest auf die Knoten-Adresse auf, und
# die unterliegt der Policy ohnehin nicht. MAS waere damit
# einschraenkbar - offen ist nur die Abnahme, weil ein
# Irrtum hier die Anmeldung trifft.
#
# ⚠️ Der Ausschluss muss HIER stehen, nicht in einer zusaetzlichen engen Policy:
# NetworkPolicies sind additiv. Solange diese Policy 0.0.0.0/0 fuer einen Pod