LiteLLM 的 spend log 按 key 记了 token 和来源 IP，放在 Cloudflare Tunnel 后面时 IP 全是集群内地址。改用 pre-call hook 读 CF-Connecting-IP，对外的 key 另加别名和限流。

边缘节点上跑代码有 VM 级隔离、同进程 V8 isolate、microVM 三种做法，出现时间重叠，至今并存；存储上，Cloudflare 按读写模式分出最终一致的 KV、单实例的 Durable Objects 和带区域只读副本的 D1。

Workers 把多租户代码放进同一进程的 V8 isolate，按 Cloudflare 的数字启动约 5 ms、内存约 3 MB；代价是只能跑 JavaScript 和 WebAssembly，没有真实文件系统和子进程，隔离靠进程级沙箱补足。

H5 应用容器和奖池活动条由 Cloudflare Workers 上的容器页、overlay 和 EKS 里四个 Spring Boot 服务组成，结构由同源入口、一张凭证两处验签、钱只走交易平台、推送层不存状态和 overlay 固定入口发版五条决策定下。

hostname 已经写在 Ingress 或 HTTPRoute 里，再去 DNS 那边手建一条记录，等于给集群状态留了一份要同步维护的副本。交给 external-dns 的代价是自己定三件事：读哪种资源、target 指向哪里、哪些记录归这个实例。

两个 K3s 集群的子域名 DNS 从 Terraform 手改交给 external-dns 之后，加一个子域名只剩一步，真正的难点是把既有记录零停机迁过去，得先预埋 ownership TXT。

oracle-k3s 从 Flannel 换到 Cilium，翻出 QUIC 超时、Secret 供应链断裂、健康检查和连接串失效、PVC 数据回灌四类问题，哪些复杂度值得保留也因此重新排了序。

在 Homelab 的 Cloudflare Terraform 配置里补一层 WAF：Zone 安全设置、自定义规则、认证端点的速率限制，一次配置同时护住 homelab 和 oracle-k3s 的子域名入口。

这套 Homelab 目前的架构分五层：Proxmox 和 Oracle Cloud 两个集群打底，Terraform 加 Ansible 管基础设施，ArgoCD 管部署，Tailscale、Cloudflare、Vault 和 ZITADEL 负责打通与鉴权。

结合 Homelab 场景，整理 Anycast、分层缓存、请求合并等能力是怎样在背后帮助保护和减压源站的。