refactor: 문서 개선 중

docs/virtualization/tech-log-studio/lab-entry-path-and-measurement-integrity/concept/concept-two-l7-hops-and-the-entry-point-recursion.md

@@ -7,7 +7,10 @@ topicName: 실험대의 진입 경로
 project: virtualization
 status: 게시 전
 basisVersion: 이 실험대의 2026-09-03 배치 · 호스트 nginx 1.30.4 (Arch) · k3s v1.36.4 의 기본 ingress 인 Traefik
-sourceRevision: 9465582b5d1630eb4ae7c4e078021486919bf6b6
+assets:
+  - key: two-l7-hops-entry-recursion
+    file: ../../../final/assets/diagrams/two-l7-hops-entry-recursion/two-l7-hops-entry-recursion.svg
+sourceRevision: import-head 9465582b5d1630eb4ae7c4e078021486919bf6b6 · uncommitted-working-tree snapshot
 source:
   - final/document.md#261-진입점-자체가-죽으면-로드밸런서의-재귀-문제
   - final/document.md#275-호스트-nginx와-traefik은-무엇이-다른가-둘-다-필요한-이유
@@ -38,6 +41,8 @@ source:
 
 <!-- body:start -->
 
+![브라우저에서 edge nginx와 Traefik을 거쳐 Pod로 가는 두 L7 홉과, edge nginx를 두 대로 늘릴 때 앞단 selector가 새 단일 장애점이 되는 재귀를 함께 보여 주는 흐름도.](../../../final/assets/diagrams/two-l7-hops-entry-recursion/two-l7-hops-entry-recursion.svg)
+
 ## 요청 하나가 L7 을 두 번 지난다
 
 브라우저가 보낸 요청은 파드에 닿기까지 HTTP 를 읽는 서버를 두 번 지난다.

docs/virtualization/tech-log-studio/lab-entry-path-and-measurement-integrity/decision/decision-no-public-tunnel-because-a-third-hop-pollutes-the-measurement.md

@@ -7,7 +7,7 @@ topicName: 실험대의 진입 경로
 project: virtualization
 status: 게시 전
 decisionStatus: ADOPTED
-sourceRevision: 9465582b5d1630eb4ae7c4e078021486919bf6b6
+sourceRevision: import-head 9465582b5d1630eb4ae7c4e078021486919bf6b6 · uncommitted-working-tree snapshot
 source:
   - final/document.md#305-tunnel-채택하지-않은-이유를-남긴-자산
   - final/document.md#302-왜-적용하지-않는-것을-남겨두는가
@@ -32,7 +32,7 @@ Cloudflare named tunnel 을 앞에 붙이면 브라우저에서 파드까지가
 - **엣지 nginx 를 호스트에서 게스트 VM 으로 옮긴다 — 성능이 아니라 더러워지는 층의 격리**
   같은 2홉을 지킨 채 엣지의 위치만 바꾼 결정이라 홉 수를 건드리지 않는다.
 - **이 실험대의 certbot 은 HTTP-01 로 받고 있는가 DNS-01 로 받고 있는가**
-  재구축 때 인증서 디렉터리를 지워도 되는지가 그 물음에 걸려 있다.
+  이 물음은 2026-09-17 `dns-cloudflare` 관측으로 닫혔다. 남은 것은 현재 Cloudflare 자격증명이 실제 재발급에 쓸 수 있는지다.
 
 ## 결정문
 
@@ -56,11 +56,11 @@ Cloudflare named tunnel 은 아웃바운드 연결만 쓰므로 포트포워딩
 
 그 대가가 두 곳에서 청구됐다.
 인증서 발급 : HTTP-01 로 받을 수 없어 DNS-01 로 갔다
-재구축 : 인증서 디렉터리 `/etc/letsencrypt/` 를 지워도 되는지가 미확정이다
+재구축 : DNS-01 등록은 확인됐지만 Cloudflare 자격증명 유효성과 dry-run 성공을 확인하기 전에는 `/etc/letsencrypt/` 를 보존한다
 
 기각한 파일을 지우지 않는 방침에도 근거가 셋 있다.
 ① 저장소의 목적이 비교다 : 선택지를 나란히 두고 트레이드오프를 적는 것 자체가 산출물이라, 하나만 남기면 왜 이것을 골랐는지를 뒷받침할 근거가 없어진다
 ② 죽은 코드가 아니라 테스트되는 코드다 : `scripts/verify-public-tunnel-config.sh` 가 붙어 있어 실행되지 않을 뿐 깨지면 드러난다
 ③ 실험대 전용 설정은 `lab/` 아래로 분리했다 : 일반 배포 설정과 섞이지 않는다
 
-재지 않은 것도 있다. 터널을 붙인 상태와 지금을 같은 방법으로 잰 비교는 이 저장소에 없다. 기각의 근거는 홉 수와 섞이는 헤더이지 두 구성을 재서 견준 값이 아니다. 인증서를 지금 어느 방식으로 받고 있는지도 이 실험대에서 아직 재지 않았다.
+재지 않은 것도 있다. 터널을 붙인 상태와 지금을 같은 방법으로 잰 비교는 이 저장소에 없다. 기각의 근거는 홉 수와 섞이는 헤더이지 두 구성을 재서 견준 값이 아니다. 인증 방식은 2026-09-17 `dns-cloudflare` 로 확인됐다. 다만 같은 후속 원문에서 Cloudflare 토큰 길이는 0자로 측정돼 재발급 가능성까지 확인된 것은 아니다.

docs/virtualization/tech-log-studio/lab-entry-path-and-measurement-integrity/reference/reference-overwrite-a-forwarded-header-at-the-trust-boundary-do-not-extend-it.md

@@ -6,7 +6,7 @@ topic: lab-entry-path-and-measurement-integrity
 topicName: 실험대의 진입 경로
 project: virtualization
 status: 게시 전
-sourceRevision: 9465582b5d1630eb4ae7c4e078021486919bf6b6
+sourceRevision: import-head 9465582b5d1630eb4ae7c4e078021486919bf6b6 · uncommitted-working-tree snapshot
 source:
   - final/document.md#209-nginx-keycloak-lab-conf-스티키-스위치와-신뢰-경계
   - final/document.md#259-x-forwarded--와-신뢰-경계