vault: update k8s DNS fix, node bypass OpenClash, ArgoCD restored

2 - Projects/VLESS-Reality/VLESS-REALITY-Router-iStoreOS.md

@@ -63,6 +63,20 @@ iStoreOS (192.168.68.63) ← 主网关
 > **重要：** NameServer 必须用海外 DNS，不能用国内 DNS（114、119、223 等），
 > 否则会产生 DNS 环路（国内 DNS IP 匹配 GEOIP,CN → 走代理 → 代理需要 DNS → 死循环）。
 
+### 流量绕过（K8s 节点直连）
+
+配置文件 rules 中添加了 K8s 节点直连规则，避免 fake-ip 干扰容器镜像拉取：
+
+```yaml
+rules:
+  - SRC-IP-CIDR,192.168.68.11/32,DIRECT   # k8s-cp1
+  - SRC-IP-CIDR,192.168.68.21/32,DIRECT   # k8s-w1
+  - SRC-IP-CIDR,192.168.68.22/32,DIRECT   # k8s-w2
+  # ... 其他规则
+```
+
+K8s 节点 DNS 也改为 `8.8.8.8`（不经过 OpenClash），详见 [[家庭网络基础设施#K8s 节点绕过 OpenClash]]
+
 ### 配置文件
 
 - 源配置：`/etc/openclash/config/vless-reality.yaml`

3 - Areas/家庭网络基础设施.md

@@ -149,7 +149,7 @@ iStoreOS / EasePi Pro (192.168.68.63) ← 主网关
 
 | 域名 | IP | 说明 |
 |------|-----|------|
-| `*.k8s.home` | 192.168.68.70 | Kubernetes 入口 |
+| `*.k8s.home` | 192.168.68.240 | Kubernetes Ingress (MetalLB) |
 | `nas.colacoder.com` | 192.168.68.70 | NAS |
 | `pve.colacoder.com` | 192.168.68.70 | PVE（通过 NPM 代理） |
 | `npm.colacoder.com` | 192.168.68.70 | Nginx Proxy Manager |
@@ -213,6 +213,19 @@ iStoreOS / EasePi Pro (192.168.68.63) ← 主网关
 | 443/tcp → NAS:443 | Nginx Proxy Manager | 端口映射 |
 | 51888/tcp → WG:51888 | WireGuard | 端口映射 |
 
+### K8s 节点绕过 OpenClash
+
+K8s 节点 DNS 使用 `8.8.8.8`（不经过 OpenClash fake-ip），流量通过 `SRC-IP-CIDR` 规则直连：
+
+| 节点 | IP | DNS | 网关 | OpenClash |
+|------|-----|-----|------|-----------|
+| k8s-cp1 | 192.168.68.11 | 8.8.8.8 | 192.168.68.63 | DIRECT（绕过） |
+| k8s-w1 | 192.168.68.21 | 8.8.8.8 | 192.168.68.63 | DIRECT（绕过） |
+| k8s-w2 | 192.168.68.22 | 8.8.8.8 | 192.168.68.63 | DIRECT（绕过） |
+
+> 原因：OpenClash fake-ip 对容器镜像仓库（quay.io、ecr.aws 等）返回假 IP，
+> K8s 节点无法通过 TUN 路由假 IP，导致 ImagePullBackOff。
+
 ### 待评估
 
 | 项目 | 说明 | 建议 |

4 - Resources/HomeLab Infrastructure.md

@@ -39,6 +39,14 @@ DNS 服务器: `192.168.68.63`
 
 注意: 所有 `*.k8s.home` 域名都应指向 ingress-nginx 的 LoadBalancer IP `192.168.68.240`（由 MetalLB 分配），而不是节点 IP。
 
+### K8s 节点网络配置
+
+K8s 节点 DNS 使用 `8.8.8.8`（绕过 OpenClash fake-ip），否则会导致 ImagePullBackOff。
+网关统一指向 `192.168.68.63`（iStoreOS 主网关）。
+OpenClash 配置了 `SRC-IP-CIDR` 规则让三个节点流量直连。
+
+配置文件: `/etc/netplan/50-cloud-init.yaml`（每个节点）
+
 ## 已部署应用
 
 | 应用 | URL | 命名空间 | 说明 |