记录我把两个 K3s 集群的子域名 DNS 从 Terraform 手改交给 external-dns 的过程，以及既有记录零停机接管时踩到的坑。

从递归解析器、权威 DNS、CDN 导流到边缘 PoP 的完整链路出发，整理 CDN 与 DNS 如何协作，以及网站如何在 DNS 宕机、控制面异常和缓存收敛延迟中争取更好的可用性。

一次看起来像 Cilium Gateway Degraded 和 ArgoCD Sync 异常的故障，最后追到了 CoreDNS stub resolver、ZITADEL backend 缺失和 Vault 密钥问题。记录完整排查链路、修复动作和后续固化方案。