在 AWS EKS 集群上将默认 VPC CNI 迁移至 Cilium Standalone ENI 模式并开启 kubeProxyReplacement。梳理双 CNI 调度门禁、Nitro AL2023 网卡探测、节点单台滚动置换与出站策略加固等关键步骤。

标准 Kubernetes NetworkPolicy 能拦住 Pod 访问私网网段与云主机元数据，但管不了动态 IP 的外部域名和跨云策略统一。对比云厂商原生 CNI、Calico、出网代理与 Cilium 的优缺点后，按场景给出各自的适用边界与落地方式。

一次看起来像 Cilium Gateway Degraded 和 ArgoCD Sync 异常的故障，最后追到了 CoreDNS stub resolver、ZITADEL backend 缺失和 Vault 密钥问题。记录完整排查链路、修复动作和后续固化方案。

homelab 和 Oracle Cloud 两个 K3s 集群之间要跑 Cilium ClusterMesh，得先完成 homelab 集群重建、Cilium Gateway API 切换和 Tailscale 组网，再做双向连接和跨集群可观测性验证。

oracle-k3s 从 Flannel 换到 Cilium，翻出 QUIC 超时、Secret 供应链断裂、健康检查和连接串失效、PVC 数据回灌四类问题，哪些复杂度值得保留也因此重新排了序。

homelab K3s 从默认 Flannel 换到 Cilium 之后冒出三个问题：Cloudflared QUIC 握手超时、Pod 访问不到节点物理 IP、ZITADEL 报 Master Key 长度错误，三个成因不同，解法也不同。