[5ym]

Cloudflare を通すのを基本にする 2 段目(1 段目は #500)。

変更

• pulumi/dns.ts の *.doany.io を proxied: true に

事前に確かめたこと

#500 と danything/denpa#1263 のマージ後、通さない名前が全部 proxied ではない明示のレコードで、家の IP(59.140.229.91)で引けることを公開 DNS で確かめた:
nb・ah・fj・lk・dp・dp.l・ks・px・x.s(*.s)。md は別の IP(JCOM 側)のまま。

この PR で Cloudflare 経由になる名前

a・ac・h・hl・il・e・m・mta-sts・rt・yk・as(l・tk・ts・w・x・y はもともと Cloudflare 経由)。
SSL は Full (strict)(既存の zone 設定)。Rybbit は CF-Connecting-IP を自分で読むので、接続元の IP の扱いは変えない。

マージ後に見ること

• 上の名前が Cloudflare の IP で引け、curl で 200 / 302 が返ること
• 3 段目(ExternalDNS の annotationFilter を false だけにし、README を書き直す)

🤖 Generated with Claude Code

https://claude.ai/code/session_01NN4TmSXHrMP8dkTbtkjfz1

[claude]

Claude finished @5ym's task in 22s —— View job

---

レビュー結果

差分は pulumi/dns.ts の *.doany.io を proxied: true にする 1 行と、その上のコメントの書き換えだけです。指摘するほどの問題は見つかりませんでした。

確認したこと

• 不具合: 通さない名前は、HTTPRoute のあるものは ExternalDNS が、無いもの(ks・px・*.s)は同ファイルの明示レコードが受け持ちます。md(A/AAAA)、メール関連(autodiscover、DKIM の selector1/2)、TXT 類も明示されているので、ワイルドカードに吸われません。
• セキュリティ: SSL が Full (strict) であることと、Rybbit が CF-Connecting-IP を自分で読むことは PR 本文のとおりで、このコードからは変わりません。シークレットの混入もありません。
• 設計: コメントの「Cloudflare を通すのが基本」は、apps/external-dns/README.md の「移行中 (2) の段階」と合っています。手順も feat(dns): Cloudflare を通さない名前を先に明示する(ワイルドカード proxied の準備) #500 → この PR → 3 段目の順で一貫しています。
• テスト: 変更は DNS 設定だけで、テストを足す対象ではありません。事前に公開 DNS で確認した内容は PR 本文に書かれています。

要確認(コードの問題ではなく、マージ後の運用面)

• 反映の順番です。Pulumi の適用と、ExternalDNS が false の注釈から作るレコードが揃うまでの間に、nb など通さない名前が一時的に Cloudflare 経由になる可能性があります。本文によると、これらは feat(dns): Cloudflare を通さない名前を先に明示する(ワイルドカード proxied の準備) #500 と denpa#1263 のマージ後に、家の IP を返す明示レコードとして公開 DNS で確認済みなので、実害は小さいはずです。ただ、nb は NetBird の管理サーバーなので、適用直後に nb.doany.io が家の IP で引けるかをもう一度見てください。
• *.s.doany.io は、Cloudflare の無料の証明書が 1 段しか守れないため明示レコードで外してあります。同じ理由で、HTTPRoute のある 2 段の名前(dp.l など)は注釈が false であることが条件です。こちらも本文で確認済みです。

[github-actions]

🍹 preview on doany-cloudflare/prod

Pulumi report

   Previewing update (prod):

@ previewing update....
~  cloudflare:index:DnsRecord wildcard update [diff: ~proxied]
   pulumi:pulumi:Stack doany-cloudflare-prod  
Resources:
   ~ 1 to update
   56 unchanged