Hacktoberfest 2026: los issues que los mantenedores marcaron para octubre, abiertos y aptos para principiantes. Explorar issues de Hacktoberfest

SSL overlap: move from admission-time detection to reconcile-time status condition (Gateway API OverlappingTLSConfig)

Abierto
  • ¿Algo no está bien?
#448 1 comentario 1 reacción 0 asignados Ver en GitHub

Los mantenedores suelen responder en 3 días

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
5/5
Tiempo estimado
Más de una semana
Aptitud para principiantes
35/100
Tipo de issue
Nueva funcionalidad
Claridad
Bastante claro
Estado de actividad
Tranquilo
Stack tecnológico
go
Área
networking

Línea de trabajo

Revisa las rutas de admisión existentes (ValidateCreate/ValidateUpdate) y la lógica de sslutil.HostsOverlap / ClientConfigHash antes de rastrear el flujo de reconcile relevante. Define la condición acordada de Gateway API y las condiciones equivalentes para ApisixTls e Ingress, incluida la resolución determinista y la documentación. Se considera terminado cuando la reconciliación informa de los solapamientos, las advertencias de admisión se mantienen y el diseño está sincronizado con el controlador relacionado.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

enhancement

Background

The SSL conflict detector currently runs only in the admission webhook (ValidateCreate / ValidateUpdate for Gateway, Ingress, ApisixTls). apisix-ingress-controller#2810 / api7-ingress-controller#437 changed it from denying an overlapping SSL object to emitting an admission warning, because denial was both incomplete and a backward-compatibility break (an unrelated edit to an object that already coexists with an overlapping one got rejected).

Warning at admission is only a partial answer. This issue tracks moving to a reconcile-time, Gateway-API-aligned model.

Why admission-time detection is insufficient

The webhook only fires on object create/update, so it never sees conflicts that arise from:

  • a certificate rotating inside its Secret (two previously-agreeing objects diverge, no object event),
  • a GatewayProxy / IngressClass change moving an object into a different group,
  • the webhook being disabled (failurePolicy: Ignore),
  • objects created before the webhook was installed.

None of these produce any signal today.

Proposed direction (Gateway API OverlappingTLSConfig)

Gateway API specifies that overlapping SNIs are allowed, with the data plane serving the longest matching SNI, and v1.3 defines the OverlappingTLSConfig listener condition that controllers MUST set on overlapping listeners, with a documented tie-break (oldest creationTimestamp, then namespace/name).

  • Detect overlapping TLS host/cert config during reconcile (not only admission), reusing the existing sslutil.HostsOverlap / ClientConfigHash logic.
  • Surface overlap as a status condition on the affected objects (Gateway: OverlappingTLSConfig; define an equivalent for ApisixTls / Ingress).
  • Document/confirm the deterministic data-plane resolution (longest SNI; then creationTimestamp; then namespace/name) so operators know which certificate wins.
  • Keep the admission warning as an early, apply-time signal.

Scope note

This is the reconcile-side follow-up to the warn-only detector in #437 / apisix-ingress#2810. Should be synced to apisix-ingress-controller as well once the design is agreed.

Lenguaje dominante
Go
Estrellas
5
Forks
5
Merge medio
5 d 16 h
PR fusionados (30 d)
10

Preparar el entorno

  • Incluye un Dockerfile o un archivo de Docker Compose
  • Tiene una plantilla de pull request
  • Sin guía de contribución

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de api7/api7-ingress-controller

Todos los issues de api7/api7-ingress-controller

Issues similares

Más issues de Go

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.