Сеть и развертывание

Публичные routes завершаются ingress и соответствующим service. Подмененный XFF не должен давать новое доверенное identity: исходный адрес берется из socket, chain разбирается справа налево через trusted hops. Cluster workloads находятся внутри trust boundary, это не защита от захваченного pod.

Feature: Подмена XFF
  Scenario: Подмена XFF
    Given socket peer не является доверенным proxy
    When клиент меняет X-Forwarded-For
    Then budget остается связан с peer
    And подмененный заголовок не создает новый разрешенный источник

Наблюдаемый production-контур использует namespace maniton в RKE2. Release допускает только точный commit и immutable digest, успешные quality/build и manual activation. Проверяются observedGeneration, readiness, actual surface и public route. Рестарт баз и замена контрактов не часть обычного release.

IP/actor budgets локальны процессу: replicas увеличивают суммарный budget, restart сбрасывает окна. SSE admission не ограничивает уже открытые соединения. Перед изменением конфигурации нужны target identity и откат.

Надежность, safety.