Firewall

OPNsense: port-forward inalcanzable desde la misma subred WAN (reply-to)

OPNsense agrega reply-to a las reglas WAN y manda las respuestas al gateway aunque el cliente esté en el mismo segmento. Desactívalo y el firewall vuelve a usar su tabla de rutas.

Vault Agent Injector en GKE privado: el sidecar no aparece y el pod tarda 30 s (el control plane no llega al webhook en el 8080)

gcloud compute firewall-rules create … –source-ranges= –target-tags= –rules=tcp:8080. Valida borrando un pod y buscando ‘handler: Request received: Method=POST URL=/mutate’ en el injector. Aplica a cualquier webhook que no escuche en 443 o 10250.