Belajar Flannel - Fitur Stabil Terbaru (v0.28.x)

#Pendahuluan

Teknologi yang berhenti berkembang akan ditinggalkan. Flannel membuktikan sebaliknya: di usia lebih dari satu dekade, dia tetap dirilis secara rutin dengan perbaikan yang menjaga kesederhanaannya sekaligus mengikuti standar baru.

Episode 20 membahas Flannel v0.28.x: penyempurnaan backend, traffic manager iptables dan nftables, keamanan build, dan pembahasan mendalam CVE-2026-32241 yang menjadi pengingat pentingnya upgrade patch.

#Apa yang Baru di v0.28.x

#Penyempurnaan Backend

Rilis v0.28.x menghaluskan berbagai backend yang sudah kalian kenal. Perbaikan difokuskan pada keandalan: sinkronisasi lease yang lebih stabil, penanganan edge case saat node bergabung dan pergi, serta perbaikan pada jalur route di backend VXLAN dan host-gw. Tidak ada perubahan besar yang mengganggu, sesuai filosofi Flannel.

#Traffic Manager iptables dan nftables

Salah satu kemajuan paling signifikan adalah pengenalan traffic manager berbasis nftables sebagai alternatif iptables. Seperti yang dibahas di episode 7, nilai TrafficManager di net-conf.json menentukan mesin yang dipakai:

net-conf.json: |
  {
    "Network": "10.244.0.0/16",
    "Backend": {
      "Type": "vxlan"
    },
    "TrafficManager": "nftables"
  }

Dengan nftables, Flannel mengikuti arah evolusi netfilter Linux. Nilai default dan perilaku migrasi bisa dilihat di dokumentasi rilis masing-masing versi.

#Keamanan Build

Rilis terbaru juga menaruh perhatian pada rantai build: image dibangun dengan base yang di-patch, dependensi diperbarui, dan proses build divalidasi untuk mengurangi permukaan serangan. Perubahan ini tidak terlihat di cluster tetapi penting untuk kesehatan jangka panjang.

#CVE-2026-32241

#Command Injection di Extension Backend

CVE-2026-32241 adalah celah command injection yang ditemukan pada extension backend Flannel. Celah ini memungkinkan argumen yang tidak divalidasi dari konfigurasi dieksekusi sebagai perintah oleh proses flanneld. Dampaknya bisa parah: eksekusi kode pada node yang menjalankan flanneld.

kubectl get ds -n kube-flannel kube-flannel-ds -o jsonpath='{.spec.template.spec.containers[0].image}'

Output dari kubectl get ds -n kube-flannel kube-flannel-ds menunjukkan image yang dipakai cluster kalian. Bandingkan tag-nya dengan versi yang sudah di-patch.

#Pentingnya Upgrade Patch

Tanggapan yang benar terhadap CVE bukan panik, melainkan disiplin: upgrade ke versi yang di-patch segera, dan untuk sementara hindari memakai extension backend. Upgrade DaemonSet bisa dilakukan dengan aman karena flanneld melakukan rolling update:

kubectl set image ds/kube-flannel-ds -n kube-flannel kube-flannel=docker.io/flannel/flannel:v0.28.8
kubectl rollout status ds/kube-flannel-ds -n kube-flannel

Perintah kubectl rollout status di atas memastikan semua node selesai upgrade sebelum dianggap selesai.

#Memeriksa dan Meng-upgrade

#Rutinitas Verifikasi Versi

Jadikan pemeriksaan versi sebagai rutinitas: verifikasi image di DaemonSet, bandingkan dengan rilis terbaru, dan catat perubahan yang relevan. Informasi rilis tersedia di halaman release Flannel di GitHub.

kubectl -n kube-flannel get pods -l k8s-app=flannel -o custom-columns=NODE:.spec.nodeName,IMAGE:.spec.containers[0].image

Output perintah di atas menampilkan image yang berjalan di tiap node. Seluruh node harus memakai versi yang sama, jika tidak ada node yang tertinggal.

#Strategi Upgrade yang Tenang

Selalu uji upgrade di staging terlebih dahulu seperti yang dibahas di episode 18. Setelah verifikasi staging, baru lakukan di produksi. Dengan GitOps, seluruh proses ini tercatat dan bisa di-rollback kapan saja.

#Mengikuti Perkembangan Rilis

#Ritme Rilis Flannel

Flannel dirilis secara berkala dengan nomor versi yang bermakna: perbaikan minor di angka ketiga, fitur dan perbaikan di angka kedua. Memahami ritme ini membantu tim merencanakan kapan harus upgrade dan seberapa besar risiko yang dibawa setiap rilis.

kubectl -n kube-flannel get ds kube-flannel-ds -o yaml | grep image:

Output dari kubectl -n kube-flannel get ds menampilkan image yang dipakai. Bandingkan dengan rilis terbaru yang diumumkan di halaman release.

#Membaca Release Notes

Sebelum upgrade, baca release notes: apa yang diperbaiki, apa yang berubah, dan apakah ada langkah migrasi yang diperlukan. Kebiasaan membaca ini mencegah kejutan saat upgrade, terutama untuk perubahan pada backend atau konfigurasi.

#Menyusun Kalender Upgrade

Tetapkan jadwal upgrade yang realistis, misalnya menerapkan rilis patch terbaru dalam dua minggu setelah rilis stabil terverifikasi. Kalender ini menjaga cluster tetap aman dari celah seperti CVE-2026-32241 tanpa mengorbankan stabilitas.

#Penutup

Episode 20 menutup babak rilis terbaru: penyempurnaan backend dan traffic manager nftables di v0.28.x, keamanan build yang lebih baik, dan disiplin upgrade sebagai jawaban atas CVE-2026-32241.

Inti yang harus dibawa pulang:

• v0.28.x menghaluskan backend dengan fokus pada keandalan dan sinkronisasi lease.
• TrafficManager nftables menjadi alternatif modern dari iptables.
• Keamanan build diperkuat melalui base image yang di-patch.
• CVE-2026-32241 adalah command injection di extension backend.
• Upgrade ke versi ter-patch dan hindari extension sampai tervalidasi.
• Verifikasi versi image di seluruh node secara rutin.

Di episode 21 selanjutnya kita akan merakit semua pelajaran: production-ready architecture — memilih backend, tuning MTU, menyandingkan policy engine, strategi upgrade, pipeline GitOps, observability, sizing node, dan runbook insiden untuk mengoperasikan Flannel di produksi.