hostname 已经写在 Ingress 或 HTTPRoute 里，再去 DNS 那边手建一条记录，等于给集群状态留了一份要同步维护的副本。交给 external-dns 的代价是自己定三件事：读哪种资源、target 指向哪里、哪些记录归这个实例。

两个 K3s 集群的子域名 DNS 从 Terraform 手改交给 external-dns 之后，加一个子域名只剩一步，真正的难点是把既有记录零停机迁过去，得先预埋 ownership TXT。

oracle-k3s 从 Flannel 换到 Cilium，翻出 QUIC 超时、Secret 供应链断裂、健康检查和连接串失效、PVC 数据回灌四类问题，哪些复杂度值得保留也因此重新排了序。

在 Homelab 的 Cloudflare Terraform 配置里补一层 WAF：Zone 安全设置、自定义规则、认证端点的速率限制，一次配置同时护住 homelab 和 oracle-k3s 的子域名入口。

这套 Homelab 目前的架构分五层：Proxmox 和 Oracle Cloud 两个集群打底，Terraform 加 Ansible 管基础设施，ArgoCD 管部署，Tailscale、Cloudflare、Vault 和 ZITADEL 负责打通与鉴权。

结合 Homelab 场景，整理 Anycast、分层缓存、请求合并等能力是怎样在背后帮助保护和减压源站的。

开源短链服务 Sink 跑在 Cloudflare Workers 上，KV 存映射，Analytics Engine 出访客统计，再加一层 IP 限速，对外就是 s.meirong.dev。