Как Касперский для Linux положил прод сервера кубера

#кейс

Так сошлись звезды, что в прошлом я получил много сертификатов по продуктам Каспера и вместе с ними перешла почетная участь управлять всем этим добром. Ну чтожжж..
В один прекрасный день наливаю кофейку и под приятную музыку в наушниках решаю заняться рутиной. Нужно установить версию kesl 12.4 взамен устаревающей 12.2 на сервера с кубернетес. В компании давно принято за правило, что на всех серверах должен быть антивирус. Всё, что можно автоматизировать в центре управления Каспера я уже давно сделал и практически не захожу туда, но обновление версии это первично ручной процесс.
Чтобы не усложнять себе и сетевикам жизнь ставлю только антивирус без сетевых экранов и прочего, потому что кубер сам прописывает настройки сети и лучше ему не мешать в этом.
Установил, закрыл задачу, забыл..а через час узнаю что суета коллег из разработки вызвана тем что прод остановился 👌
Странно подумал я, ведь ситуация штатная и проделывалась уже тысячи раз, но закрадывалась мысль что дело в новой версии антивируса.
И началооось, аварийная конфа, разбор инцидента и все эти холиварные темы кто виноват 😒
Выдыхаем и начинаем холодной головой искать причину. Правила iptables с первого взгляда не изменены, а сервера как будто изолировались..хм..
Начал проверять модули и обнаружилось, что был добавлен новый функционал, который звучит так: «Защита от почтовых угроз» и по умолчанию он включен. Но как почта вяжется с нодами кубера? Неочевидно!
Рассказываю что раскопал. При детальном сравнении всех правил iptables было найдено, что Каспер все же перехватывает трафик добавляя свои строки:

kesl_prerouting ... TPROXY --on-port 32307
kesl_input ... NFQUEUE --queue-num 0
kesl_output ... NFQUEUE --queue-num 1
CILIUM_PRE_mangle ... TPROXY --on-port 42785

Сетевой плагин кубернетеса Cilium, который работает на протоколе eBPF тоже добавляет свои правила и нещадно терпит поражение в этой борьбе с Каспером теряя связанность 🔫
Какие решения найдены. Первое и очевидное - отключения модуля «Защита от почтовых угроз».
Второй найденный вариант - оставляем модуль активным, но изменяем в Политике - Параметрах сети перехват трафика с iptables на eBPF.
Такая вот история. Кластер жив, а мы сделали вывод и идём дальше заниматься чем-то интересным 😙