chore: build

deploy/cert-manager/networkpolicy.yml

@@ -58,7 +58,7 @@ spec:
   ingress:
     - from:
         - ipBlock:
-            cidr: CHANGE_ME_apiserver_ip/32
+            cidr: 176.116.0.189/32
       ports:
         - protocol: TCP
           port: 10250
@@ -97,7 +97,7 @@ spec:
   egress:
     - to:
         - ipBlock:
-            cidr: CHANGE_ME_apiserver_ip/32
+            cidr: 176.116.0.189/32
       ports:
         - protocol: TCP
           port: 6443
@@ -125,3 +125,59 @@ spec:
       ports:
         - protocol: TCP
           port: 443
+
+---
+# Calico tourne en VXLAN : un appel de l'API server (sur le master) vers le
+# webhook cert-manager, situé sur un autre nœud, sort avec l'IP du tunnel VXLAN
+# du master comme source, pas avec son IP de nœud (seule autorisée par
+# allow-ingress-apiserver-webhook). Sans cette règle le webhook est
+# injoignable : toute création/renouvellement de Certificate, Issuer ou
+# CertificateRequest échoue avec "failed calling webhook ... Client.Timeout".
+# IP à mettre à jour si le nœud est recréé :
+#   kubectl get node master-k3s -o jsonpath='{.metadata.annotations.projectcalico\.org/IPv4VXLANTunnelAddr}'
+apiVersion: networking.k8s.io/v1
+kind: NetworkPolicy
+metadata:
+  name: allow-ingress-apiserver-webhook-vxlan
+  namespace: cert-manager
+spec:
+  podSelector: {}
+  policyTypes:
+    - Ingress
+  ingress:
+    - from:
+        - ipBlock:
+            cidr: 192.168.207.64/32
+      ports:
+        - protocol: TCP
+          port: 10250
+
+---
+# Challenge DNS-01 : avant de demander la validation à Let's Encrypt,
+# cert-manager vérifie que son enregistrement TXT est visible en interrogeant
+# directement les serveurs de noms autoritaires de la zone (chez Cloudflare) en
+# TCP/UDP 53 : allow-egress-internet-https ne laissait passer que le 443, d'où
+# "Waiting for DNS-01 challenge propagation: dial tcp <ip>:53: i/o timeout".
+# Même règle nécessaire au renouvellement de wildcard-demo-tls (omnex.sbs).
+apiVersion: networking.k8s.io/v1
+kind: NetworkPolicy
+metadata:
+  name: allow-egress-dns-public
+  namespace: cert-manager
+spec:
+  podSelector: {}
+  policyTypes:
+    - Egress
+  egress:
+    - to:
+        - ipBlock:
+            cidr: 0.0.0.0/0
+            except:
+              - 10.0.0.0/8
+              - 172.16.0.0/12
+              - 192.168.0.0/16
+      ports:
+        - protocol: UDP
+          port: 53
+        - protocol: TCP
+          port: 53