DongHyeonkaandClaude Opus 5
2109f726fe
기록 84편을 계약 에이전트로 다시 썼다. 기존 71편(kss 25 · virt 46)과, 계약에만 있고 안 쓰여 있던 새 글감 13편이다. 원장 84개를 열어 단계마다 스킬 영수증과 관문 종료 코드를 적었고 verify-pipeline-run.py 가 error 0 으로 닫는다. SSOT 결함 둘을 고쳤다. - kss 의 `약 58일` 이 반입 중 `약 59일` 로 바뀌어 있었다. 원 증거 파일이 「남은 일수: 88일 … 실제 갱신까지 약 58일」로 산수를 직접 적는다. D-4a 쪽 `약 59일` 은 강제 갱신 뒤(`VALID: 89 days`)라 맞는 값이라 그대로 뒀다. - virt §198 의 `11.6GB` 는 §178 의 원 측정 `Mem: 11648`(MiB)과 어긋나는데 원 가이드의 표기 그대로라 고치지 않고 쓰이는 자리에 대조를 적었다. 기록의 수치 오류 셋을 고쳤다 — CASE 요약의 「게스트 셋에 8240MB」(5120+3120 은 둘이다), k3s 편이 같은 것을 여섯·일곱·여덟로 세던 것, no-docker 편의 「셋을 더 든다」(§281 의 표는 네 행이고 디스크 행이 빠져 있었다). 계약을 셋 고쳤다. - kss 의 sourceRepository 리비전이 cdac9b8 이었는데 그 커밋에는 docs/guides/** 28개가 아예 없다. 9465582b 로 바꾸고, 반입한 바이트가 어느 커밋과도 같지 않다는 것을 측정값과 함께 적었다 — 반입은 커밋이 아니라 그 시점의 작업 트리에서 떠 온 것이다(kss 297/306 · virt 12/14 가 작업 트리와 같고, 200 커밋을 거슬러 전수 대조했을 때 가장 가까운 커밋도 28개가 어긋났다). - virt 계약이 「2026-09-11 재배분」이라고 적는데 SSOT 는 재배분 날짜를 적지 않고 재배분 뒤 값은 이미 2026-09-10 측정에 찍혀 있다. - kss 후보 대장이 지나친 절 아홉에 처분을 적었다(warn 9 → 0). 새 글감은 0건이고 넷은 앵커가 h3 슬러그의 접두가 아니라 중간 토막이라 검사기가 못 본 것이었다. style_profile.mjs 의 결함 둘을 고쳤다 — frontmatter 가 문장으로 세어져 (실측 398자짜리 「문장」 하나) 평균 길이를 기준 안으로 밀어 올리고 있었고, engPerSent 의 분자는 목록을 포함한 글에서, 분모는 목록을 걷어낸 글에서 세고 있었다(Question 기록에서 11.94 → 3.86). verify-pipeline.py 전 항목 PASS · error 0 · unittest 334건 OK. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
32 lines
1.3 KiB
Plaintext
32 lines
1.3 KiB
Plaintext
#!/usr/sbin/nft -f
|
|
# Forward the tailnet entry point to the edge guest.
|
|
#
|
|
# This is the ONLY lab traffic rule the physical host carries. Everything else
|
|
# that used to live here — nginx config, certificates, certbot, the deploy hook
|
|
# — now lives on kc-lab-edge and is destroyed with it.
|
|
#
|
|
# DNAT only, never SNAT. The guests' default route is the host, so replies come
|
|
# back through here and conntrack reverses the translation on its own. Adding a
|
|
# masquerade would rewrite the source and the edge would see 192.168.122.1 for
|
|
# every client — which would silently invalidate the X-Forwarded-For contract
|
|
# that this lab measures.
|
|
#
|
|
# PREROUTING nat runs before the routing decision, so this wins over any local
|
|
# socket on :80/:443. That makes the cutover atomic and the rollback a single
|
|
# `nft delete table ip lab_edge`.
|
|
|
|
table ip lab_edge
|
|
delete table ip lab_edge
|
|
|
|
table ip lab_edge {
|
|
chain prerouting {
|
|
type nat hook prerouting priority dstnat; policy accept;
|
|
iifname "tailscale0" tcp dport { 80, 443 } dnat to 192.168.122.10
|
|
}
|
|
|
|
# No forward chain here on purpose. libvirt's guest_input chain ends in
|
|
# `oif virbr0 ... reject`, and an accept in an earlier base chain does NOT
|
|
# stop a later chain from rejecting — that is nftables, not iptables. The
|
|
# hole is punched inside libvirt's own chain by the unit's ExecStartPost.
|
|
}
|