From 97f0e033e0f81d9874db239a2c122925e14336cd Mon Sep 17 00:00:00 2001 From: Nick Szaunig Date: Mon, 12 Oct 2026 11:14:59 +0200 Subject: [PATCH] fix(k8s): Ingress nur noch ueber Cloudflare erreichbar Middleware cloudflare-only (ipAllowList: Cloudflare-IPs und private Netze) vor die HTTPS-Umleitung gesetzt, wie live im Cluster seit 2026-10-12. Direkte Zugriffe auf den Origin an Cloudflare vorbei bekommen 403. Die Middleware selbst liegt in rke2-cluster/security. Co-Authored-By: Claude Opus 5.5 (1M context) --- k8s/06-ingress.yaml | 9 ++++++++- 1 file changed, 8 insertions(+), 1 deletion(-) diff --git a/k8s/06-ingress.yaml b/k8s/06-ingress.yaml index 8aa7ae5..14430b0 100644 --- a/k8s/06-ingress.yaml +++ b/k8s/06-ingress.yaml @@ -72,7 +72,14 @@ metadata: # ports.web.redirectTo.port=websecure), sind diese Zeile UND die # Middleware am Ende der Datei ueberfluessig. Der Namespace-Praefix im # Wert ist Pflicht — Traefik loest den Namen sonst nicht auf. - traefik.ingress.kubernetes.io/router.middlewares: wabenhain-redirect-to-https@kubernetescrd + # + # "cloudflare-only" steht bewusst an erster Stelle: wabenhain.com laeuft + # ueber den Cloudflare-Proxy, direkte Zugriffe auf den Origin (an + # Cloudflare und damit an WAF und Rate-Limits vorbei) beantwortet Traefik + # mit 403. Erlaubt sind nur Cloudflare-IPs und private Netze. Die + # Middleware liegt nicht in diesem Repo, sondern in + # rke2-cluster/security/cloudflare-only-middlewares.yaml (Stand 2026-10-12). + traefik.ingress.kubernetes.io/router.middlewares: wabenhain-cloudflare-only@kubernetescrd,wabenhain-redirect-to-https@kubernetescrd spec: # Muss zur IngressClass der Traefik-Installation passen. Das offizielle # Helm-Chart legt sie als "traefik" an; mit "kubectl get ingressclass"