2026-04-10 전수 감사 (Outline agent-qna doc 51b963c3-b251-48b5-a57a-a2305959c470) 결과 반영 + 정리 1차 (nas.inouter.com, ironclad.jp.inouter.com, k8s.jp.inouter.com 삭제). Syn 이 엣지 관점에서 소유. 일반 DNS 관리 협업은 Heimdall.
이전 메모(updated 2026-04-04)는 폐기: jarvis/telegram-webhook/vault/n8n 이 actions.b-cdn.net 가리킨다는 기록은 dead 풀존을 가리키는 구식 정보. 실제 정본은 위 표와 같이 모두 iron-kr.b-cdn.net.
ironclad.it.com (14)
Name
Type
Value
Proxied
ironclad.it.com
A
172.233.93.180
✅
*.ironclad.it.com
A
172.233.93.180
✅
MX×2 Mailgun, AWS SES DKIM CNAME×3, TXT (SPF/DMARC/google)
ironclad.it.com 은 BunnyCDN 풀존을 거치지 않음. CF proxied A 로 osaka 172.233.93.180 직통. 보호는 CF Worker (ironclad-site apex + bouncer wildcard) 단독.
keepanker.cv (3)
Name
Type
Value
Proxied
keepanker.cv
CNAME
f1aa79f2-….cfargotunnel.com
✅
*.keepanker.cv
CNAME
f1aa79f2-….cfargotunnel.com
✅
juiceshop.keepanker.cv
CNAME
iron-kr-waf.b-cdn.net
off
apex/wildcard 는 Cloudflare Tunnel (cfargotunnel). juiceshop 은 BunnyCDN iron-kr-waf 로 override.
servidor.it.com (0)
DNS 레코드 없음. zone 만 등록. 워커 라우트 + Turnstile 위젯은 살아있음 → 트래픽 자체가 불가능한데 보안 자원만 회전 중. zone 정리 또는 DNS 레코드 추가 결정 필요.
script: null. 등록만 되고 워커 미연결. (linode.actions.it.com 자체는 BunnyCDN iron-jp 호스트네임으로도 있음 — 중복 의도?) 미정리.
Turnstile inouter (sitekey …CbmaudAjITah7y7)
이름은 inouter 인데 허용 도메인은 anvil.it.com 단일. legacy 후보. 미정리 (CF 토큰 read-only 라 대시보드 수동 필요).
사설 IP 공개 DNS 노출 — 2026-04-10 정리 완료
레코드
값
상태
ironclad.jp.inouter.com
A 10.19.228.193
2026-04-10 삭제 (cf-audit-cleanup-1)
k8s.jp.inouter.com
A 10.253.103.124
2026-04-10 삭제 (cf-audit-cleanup-1)
향후 사설 IP 가 필요하면 Tailscale Magic DNS 또는 split-horizon (예: jp.inouter.com 내부 zone) 으로 처리.
CF proxy on/off 패턴 (중요)
inouter.com / anvil.it.com: 거의 전부 proxied: false — CF 는 DNS 만, 트래픽은 BunnyCDN 또는 LAN 직통. CF Worker bouncer 라우트는 등록되었으나 DNS 가 proxied=false 면 CF 엣지를 거치지 않음 → bouncer 무효.
actions.it.com / ironclad.it.com: apex/wildcard 모두 proxied: true — CF Worker 효과적으로 enforce.
keepanker.cv: CF Tunnel.
함의: inouter.com / anvil.it.com 의 보호는 BunnyCDN 미들웨어 64811 이 단독 책임. CF Worker bouncer 는 라우트 등록 + Turnstile 위젯 회전만 하고 실제 enforcement 는 안 함. 의도된 design 인지 (BunnyCDN 우선) 또는 누락인지 결정 필요. design 이라면 inouter / anvil 의 CF Worker 라우트는 제거 가능.
정책 일관성
iron-kr IgnoreQueryStrings: true vs iron-jp IgnoreQueryStrings: false — 같은 미들웨어 64811 공유인데 캐시 키 정책이 다름. iron-jp 트래픽이 미미해 영향 작지만 통일이 운영 단순화.
cfb-manager (CrowdSec CF Worker bouncer 관리 API)
항목
값
위치
K3s default/cfb-manager (10.43.68.76:8000)
구현
Python FastAPI
기능
bouncer 보호 도메인 추가/삭제, decision 조회, CF zone 동기화, bouncer 재시작 트리거
BASE=http://cfb-manager.default.svc.cluster.local:8000
curl $BASE/status # bouncer_running, pids, protected_domains
curl $BASE/domains # 보호 중인 zone 상세
curl $BASE/decisions # 현재 결정
curl -X POST $BASE/sync?auto_apply=true# CF 의 모든 zone 을 보호 목록 동기화
BunnyCDN 미들웨어와는 무관. BunnyCDN 미들웨어 64811 의 bloom filter 동기화는 jp1 infra-tool 컨테이너 /opt/crowdsec-bouncer/bouncer.py (3분 delta + 매시 full sync) 가 담당.
9d71167772