Peter Lee - Blog

家用 Kubernetes 的內部 DNS：從 router 到 CoreDNS 排查查詢迴圈

peterlee0127@gmail.com (peterlee) — Mon, 14 Sep 2026 00:00:00 +0800

GitLab 的網頁能開，不代表 Argo CD 能 clone repository；NUC 上能解析 Registry，也不代表 Pod 或 container runtime 走相同的 DNS 路徑。把家中服務分成公開瀏覽器入口與內部機器入口後，這幾個差異就不能再靠同一個「DNS 正常」概括。

我的內部 DNS 設定由 router 的 dnsmasq 管理，NUC 使用 router 作為 upstream，RKE2 裡的 CoreDNS 再替 Pods 解析名稱。這裡的分流使用不同的公開與內部名稱，不是讓同一個 hostname 在內外網回傳不同 IP 的 split-horizon 設定。

將 Vault audit log 保存到 host：權限、HUP 與 90 天輪替

peterlee0127@gmail.com (peterlee) — Wed, 09 Sep 2026 00:00:00 +0800

Vault 能正常提供 secret，不代表事後能回答「誰做了哪個 API 操作」。Container 的 server logs 主要記錄 process 狀態與錯誤；audit device 才負責 API request／response 的稽核資料。兩者用途不同，也不會因為 docker logs vault 有輸出就自動同時存在。

我的 Vault 在 Kubernetes 外以 Docker Compose 執行。Repository 已記錄把 host 的 /var/log/vault 掛到 container 的 /vault/logs，並以 logrotate 管理 audit.jsonl。這篇集中在保存與輪替，不重複 Vault 與 External Secrets裡的 secret delivery 流程。

在 M5 Pro 上用 LM Studio 執行 Qwen3.6 與 Qwen3.8

peterlee0127@gmail.com (peterlee) — Fri, 04 Sep 2026 01:05:00 +0800

在 M5 Pro 上跑本機大型語言模型，安裝本身並不複雜，真正需要留意的是模型格式與 unified memory。這次我在 LM Studio 裡使用兩個 MLX 4-bit 模型：Qwen3.6 35B A3B 與 Qwen3.8 27B。前者的模型檔約 20.43 GB，後者約 16.08 GB；兩個都能處理文字、圖片與 reasoning，但架構和適合的使用方式不完全相同。

先準備 LM Studio 與 MLX runtime

先安裝最新版 LM Studio，再從左下角的 Settings 開啟 Runtime 管理頁面。Apple Silicon 可以使用 llama.cpp 或 Apple 的 MLX；這次下載的是 MLX 版本，因此 Runtime selections 也要選 LM Studio MLX。

用 ClusterExternalSecret 將 Registry 登入資訊分發到多個 namespace

peterlee0127@gmail.com (peterlee) — Wed, 02 Sep 2026 00:00:00 +0800

新增一個 namespace 後，Deployment 看起來沒有問題，Pod 卻停在 ImagePullBackOff。檢查才發現 imagePullSecrets 指向 regcred，但這份 Secret 只存在另一個 namespace。手動複製一次很快；每增加一個 workload、每輪替一次 credential 都要再複製，才是後續的負擔。

我的 GitOps 設定用 Vault 保存 Registry 登入資料，再由 ClusterExternalSecret 在選中的 namespaces 建立 ExternalSecret。各個 ExternalSecret 負責產生當地的 regcred，workload 仍然使用 Kubernetes 原生的 imagePullSecrets。

做一個只能看、不能動的 Kubernetes MCP tool

peterlee0127@gmail.com (peterlee) — Fri, 28 Aug 2026 00:00:00 +0800

我最近在 k8s_infra/plugins/infra-observer 做了一個給 AI 用的 MCP tool。它不是遠端終端機的包裝，也不是把 kubectl 直接交給模型；它只做一件事：在不讓 AI 動到環境的前提下，給它排查問題需要的資訊。

若 SSH 工具接受任意指令，AI 取得的能力就超過了排查所需。就算名義上說是 read-only，也可能讀到 Secret、進 Pod 執行命令，或被 log 裡的內容引導去跑不該跑的東西。我想要的是讓它看得到 Pod 是否不健康、rollout 卡在哪裡、Argo CD 有沒有同步、Service 有沒有 endpoint，以及服務在 OTel 裡有沒有錯誤；除此之外的能力就不要有。

讓 AI 讀懂我的 Kubernetes 基礎設施

peterlee0127@gmail.com (peterlee) — Fri, 28 Aug 2026 00:00:00 +0800

剛開始把 AI 放進 Kubernetes 的工作流程時，我最常遇到的問題不是它不會寫 YAML，而是它太容易只看眼前那一份 YAML。它可以很快補出一個 Deployment，卻不一定知道這個服務要不要經過 Argo CD、它的 Secret 從哪裡來，或是公開入口是否也需要處理叢集外的設定。

後來我沒有再把需求和幾段設定直接貼進對話，而是讓 AI 從 GitOps repository 開始讀。那個 repository 本來就是我維護叢集的地方；裡面的目錄、README 和設定檔，剛好也能讓 AI 補上我平常放在腦中的脈絡。

我先給 AI 一張地圖

Repository 將 bootstrap、Applications、服務設定與叢集外資源分開：

gitops/
├── bootstrap/ # 初始安裝時才需要的東西
├── clusters/apps/ # Argo CD Applications
├── apps/ # 各服務的 manifests 與 values
├── terraform/ # 叢集外的雲端資源
└── docs/ # 架構與操作筆記

有了這張地圖，「新增一個服務」就不再只是多一個 Deployment。AI 可以先找出這個服務會碰到的 Application、Kustomization、values、Secret reference 和 Terraform，而不是猜一份看起來合理、實際上接不起來的設定。

以 GitOps 管理的 values 在 Kubernetes 執行 Airflow

peterlee0127@gmail.com (peterlee) — Mon, 24 Aug 2026 00:00:00 +0800

我的家用 Kubernetes 叢集將 Apache Airflow 作為以 GitOps 管理的平台服務。它負責編排定時執行的資料工作與維運流程；Kubernetes 則為 scheduler、API server、Celery worker、triggerer 與支援服務提供隔離的執行環境。

部署分成兩部分：可公開審查的 Helm values 放在 Git，憑證與產生的金鑰則放在 Vault。Argo CD 負責依正確順序同步這兩部分。

部署結構

這個 repository 採用 app-of-apps 模式。根 Argo CD Application 從 clusters/apps/ 同步子 Application；Airflow 的資源則分成以下幾個部分：

以 cloudflared 取代 Caddy：不開放 80、443 連接埠也能公開 Kubernetes

peterlee0127@gmail.com (peterlee) — Sat, 22 Aug 2026 00:00:00 +0800

我的 k8s_infra 原本由 Caddy 接收公開流量。請求先到 Cloudflare，再經過 router 上的 HTTP／HTTPS port forwarding 進入家用網路，抵達 Caddy 後才轉送到 Kubernetes。

這套設計可以運作，卻代表來源端仍要接受 Internet 的入站連線。我除了維護 Cloudflare DNS 與 Access policy，還要同時管理 router、host firewall、Caddy route，以及 Kubernetes 的 NodePort 或 Ingress。任何一層設定錯誤，都可能留下繞過預期驗證路徑的入口。

從本機與遠端 Git 歷史移除誤提交的 secret

peterlee0127@gmail.com (peterlee) — Thu, 30 Jul 2026 00:00:00 +0800

這次事件發生在一個使用外部 CSV 的 side project。我整理資料時，誤把其中一份含有機密內容的 CSV 加進 Git。發現後，即使再提交一次刪除檔案的變更，也只會讓它從最新版本消失；舊 Git object 仍可能在本機或遠端被取回。

需要處理的是兩件事：已暴露的資料，以及仍可存取的 Git 歷史。若資料是 token、密碼或憑證，要先撤銷或輪替；若是無法撤銷的機密內容，則要限制存取、檢查稽核紀錄與副本，並依事件需求處理通知。刪除歷史無法收回別人已取得的資料。

以下以 data/external/private-source.csv 示範。操作前須確認 repository 的 refs、branch protection 與協作方式。

刪除檔案會留下什麼

git rm data/external/private-source.csv
git commit -m "remove committed confidential CSV"

目前 branch 不再包含檔案，但早期 commit 仍有原始內容。把值換成 REDACTED 也一樣，Git 會保存前一個 blob。

用 AI Coding 打造原生 macOS 加密 DNS App：DNS Security Pro

peterlee0127@gmail.com (peterlee) — Sat, 18 Jul 2026 00:00:00 +0800

DNS Security Pro for macOS 可以切換 DNS over HTTPS（DoH）與 DNS over TLS（DoT）profiles，並顯示目前啟用的設定。我以 SwiftUI、AppKit lifecycle 與 Apple NetworkExtension APIs 建立獨立的 macOS App，沒有透過 Mac Catalyst 移植 iOS 介面。

需求來自我開發與維護 iOS 版 DNS Security 的經驗。AI 協助整理需求、實作與修訂文件；其中最需要處理的是系統 DNS 狀態是否正確，以及 profile 套用前的驗證。

在 GitOps 使用 Mozilla SOPS 加密 Kubernetes Secret

peterlee0127@gmail.com (peterlee) — Tue, 09 Jun 2026 00:00:00 +0800

SOPS 可以讓加密後的 Kubernetes Secret 值保存在 Git，部署時再由 GitOps controller 解密。它與 Vault 的差別在於資料來源：Vault 提供 runtime 值，SOPS 則以 Git 裡的加密檔為 source of truth。

encrypted Secret in Git → GitOps controller 解密 → Kubernetes Secret → Pod

使用 waypoint proxy 執行 Istio ambient mode

peterlee0127@gmail.com (peterlee) — Wed, 03 Jun 2026 00:00:00 +0800

我用 Istio ambient mode 將 namespace 納入 mesh，不必為每個 Pod 加入 sidecar。Ztunnel 處理 L4 安全通訊；需要 L7 路由、授權或遙測的服務，再加入 waypoint。

這裡讓公開 API example-api 使用 service-scoped waypoint；example-worker 先使用 ambient L4。example-admin 維持內部存取，之後也可以納入 ambient。