【Linkerd】identity 服务：CSR、mTLS 与工作负载证书轮转
拆解 linkerd-identity 如何校验 CSR 并签发绑定 ServiceAccount 的工作负载证书；自动轮转与 issuer/trust anchor 分层，并对照 Envoy SDS 路径与失败落格。
mTLS 标签归档
共 7 篇文章 · 返回首页
【Linkerd】运维与升级：证书轮转与 2.20 destination 内存门
按 2.20 tag 钉控制面升级顺序、trust anchor/issuer 分层轮转、destination 内存重构运维门；附 live vs tag 门禁与否证检查表。无集群则不写升级成功叙事。
【Linkerd】排障坐标系：五轴否证与 native/legacy 证据包
按 Linkerd 五轴映射未 mesh、TLS 失败、无端点、策略拒绝与 502；强调先点名轴、native sidecar 与 legacy init+sidecar 分列证据包；并说明不可与 istio-xds 五轴混因果。
Linkerd / 服务网格控制面：非 xDS 的 destination、identity 与 linkerd2-proxy
补齐站内 istio-xds 对照篇之上的 Linkerd 控制面内核：proxy-injector、identity CSR、destination 按目标流式推送、linkerd2-proxy 数据面，并以排障与相对 istiod/xDS、Ambient、Cilium L4 的选型收束。
【系统架构设计】零信任架构：不信任网络边界的安全模型
VPN 解决的是'谁能进入内网'，但进入之后的横向移动几乎不受约束——这正是近年来大规模数据泄露事件的核心攻击路径。零信任架构（Zero Trust Architecture）将安全判定点从网络边界下沉到每一次请求，通过 mTLS、SPIFFE/SPIRE、持续身份验证和微分段实现'永不信任，始终验证'。本文从 BeyondCorp 模型出发，拆解零信任的核心组件、工程实现和选型取舍。
【Kubernetes 网络深度系列】Cilium 身份识别与零信任网络
从 IP-based 到 Identity-based 安全，Cilium 零信任网络架构的实现与落地
【Kubernetes 网络深度系列】容器网络加密：WireGuard、IPsec 与透明 mTLS
WireGuard、IPsec、透明 mTLS 三种容器网络加密方案的原理、性能与选型