在 Homelab 的 Cloudflare Terraform 配置里补一层 WAF：Zone 安全设置、自定义规则、认证端点的速率限制，一次配置同时护住 homelab 和 oracle-k3s 的子域名入口。

这套 Homelab 目前的架构分五层：Proxmox 和 Oracle Cloud 两个集群打底，Terraform 加 Ansible 管基础设施，ArgoCD 管部署，Tailscale、Cloudflare、Vault 和 ZITADEL 负责打通与鉴权。

结合 Homelab 场景，整理 Anycast、分层缓存、请求合并等能力是怎样在背后帮助保护和减压源站的。

在 K3s homelab 环境中部署 ZITADEL 作为 OIDC 身份提供者，结合 oauth2-proxy 和 Traefik Gateway API 的 ForwardAuth 机制，为所有自托管服务实现统一的 SSO 单点登录。

双集群 K3s Homelab 补齐 OpenTelemetry traces 之后的样子：OTel Collector 收数据，跨集群写进 Tempo，Grafana 联动数据源，各语言 SDK 按同一套约定接入。

backup.meirong.dev 某天打不开之后，我给双集群 K3s Homelab 补了一套备份：数据先分类，Kopia 加 CronJob 定时跑，跨集群传备份，配置走 GitOps 管，灾难恢复另有一份 SOP。

开源短链服务 Sink 跑在 Cloudflare Workers 上，KV 存映射，Analytics Engine 出访客统计，再加一层 IP 限速，对外就是 s.meirong.dev。

集成测试卡在 make coverage 阶段，第一眼看到的是连接池超时，真正让进程挂住的是 Reactive Redis 下 Lettuce SharedLock 的自旋，两层问题得分开修。

把 mirrord OSS 接入 VS Code 时遇到一个 WebSocket 403，最后追到 K8s impersonation 的两条 authorization 链路，记录了排查、原理和最小修复。

不用 Spring Cloud Config Server 也能把 feature flag 做出来：Gateway、微服务和 React 三个角色共用同一个 flagd，热加载方案选型和 OFREP 跨栈一致性都在 kind 环境里验证过。