#Cilium А никто не знает как в cilium отрубить nat при

обращении к внешнему адресу type: LoadBalancer из подов?
Такая проблема, ingress-controller в режиме proxy protocol. На него трафик залетает через службу типа LoadBalancer (балансировщик в облаке)

Но если обращаться к этому внешнему адресу балансера из подов кластера, то cilium nat'ит внешний адрес балансировщика во внутренний адрес пода. А поскольку там ingress-controller в режиме proxy protocol то облом при таких прямых запросах.

cilium различает службы типа LoadBalancer от других, это видно по cilium service list
```
27 x.x.x.x:443 LoadBalancer 1 => 10.246.4.95:443
28 x.x.x.x:80 LoadBalancer 1 => 10.246.4.95:80
```

Но также видно что он все равно их натит:
```
TCP OUT x.x.x.x:59774 -> 10.246.4.95:443 XLATE_SRC 10.246.3.235:47747 Created=5776980sec HostLocal=0
```
x.x.x.x - внешний адрес балансера
10.246.4.95 - адреса пода ingress-controller'а
10.246.3.235 - адрес пода с которого идет запрос на внешний адрес балансера x.x.x.x

Чет не могу найти опцию, которая бы это регулировала

отбой, кажется нашел - bpf-lb-mode

не, не то

nonMasqueradeCIDRs

так чет не хотелось. Явно указывать

у тебя он прем или в облаке?

облако

А это не побочный эффект DSR?

snat стоит

но щас явно попробую его включить

Не, это точно бессмысленно. Может только страннее стать. Я подумал просто, что DSR может для каких-то нужд DSTIP крутить, но видимо источник в другом

по умолчанию snat должен быть. Страннее не станет

Сделай cilium bpf nat list на ноде с контроллером

а зачем? Что там хочешь найти? Там больше 20K записей В от числе и про мой внешний ип адрес TCP OUT x.x.x.x:59774 -> 10.246.4.95:443 XLATE_SRC 10.246.3.235:47747 Created=5776980sec HostLocal=0 Я кидал в исходном сообщении

Найти как правило выглядит, чтоюы в коде посмотреть где такие правила создаются

там же вроде не правила. Там табличка типо conntrack. Ну по крайней мере я так всегда к ней относился =) Я в bpf не силен, но там ведь не правила, а bpf программы, которые этот нат и делают.

а ты его используешь? Чет странно как-то задается эта опция. Предлагают создать левый конфиг мап, непонятно как его правильно подключить и куда примонтировать. В коде походу надо рыться

Нет, bpf создаёт из двух компонентов: программ и мапов (это просто kv, которые могут из bpf программ считываться). Вот cilium bpf это команда, которая позволяет мапы читать

не, я уже силлиум не кручу

https://ebpf.io/what-is-ebpf#maps

хорошо. Но cilium bpf nat list не похоже на правила. А похоже на conntrack. Там просто список всех коннектов в стиле ``` TCP OUT x.x.x.x:59774 -> 10.246.4.95:443 XLATE_SRC 10.246.3.235:47747 Created=5776980sec HostLocal=0 ```

а че так? Решил отказаться от него?

уволился)