Kubernetes 1.33: SIG-Network の変更内容

[Kubernetes 1.33](https://github.com/kubernetes/kubernetes/blob/master/CHANGELOG/CHANGELOG-1.33.md) の SIG-Network の変更内容をまとめました。

<details><summary>過去の SIG-Network の変更内容</summary><div>

- [Kubernetes 1.32: SIG-Network の変更内容](https://qiita.com/uesyn/items/7b67b251b71f3fed3f96)
- [Kubernetes 1.31: SIG-Network の変更内容](https://qiita.com/uesyn/items/201d2c1b925e08fc6105)
- [Kubernetes 1.29: SIG-Network の変更内容](https://qiita.com/tkusumi/items/452d8ba0d7fa2e42b1be)
- [Kubernetes 1.28: SIG-Network の変更内容](https://qiita.com/tkusumi/items/eaec7845fb391346c768)
- [Kubernetes 1.27: SIG-Network の変更内容](https://qiita.com/tkusumi/items/e50129395698d2a15e73)
- [Kubernetes 1.26: SIG-Network の変更内容](https://qiita.com/tkusumi/items/bc3b6c8073c5b3785741)
- [Kubernetes 1.25: SIG-Network の変更内容](https://qiita.com/tkusumi/items/a41ed4ffd67dd7b3ed23)
- [Kubernetes 1.24: SIG-Network の変更内容](https://qiita.com/tkusumi/items/8ae63017abf763b0a22d)
- [Kubernetes 1.23: SIG-Network の変更内容](https://qiita.com/tkusumi/items/9516b7955c1c33d31e8e)
- [Kubernetes 1.22: SIG-Network の変更内容](https://qiita.com/tkusumi/items/2e3c69849ce2a4b50a90)
- [Kubernetes 1.21: SIG-Network の変更内容](https://qiita.com/tkusumi/items/a816626c258735bdc98f)
- [Kubernetes 1.20: SIG-Network の変更内容](https://qiita.com/tkusumi/items/5e1c420503cfa730d940)
- [Kubernetes 1.19: SIG-Network の変更内容](https://qiita.com/tkusumi/items/ee1e100d34465ff2d764)
- [Kubernetes 1.18: SIG-Network の変更内容](https://qiita.com/tkusumi/items/e72e255363f6deee3e9b)
- [Kubernetes 1.17: SIG-Network の変更内容](https://qiita.com/superbrothers/items/fd936c4046459a16609c)
- [Kubernetes 1.16: SIG-Network の変更内容](https://qiita.com/tkusumi/items/5fc2e12a4bb8931a2eed)
- [Kubernetes 1.15: SIG-Network の変更内容](https://qiita.com/summerwind/items/e1c8d649ed8c7ae44b83)
- [Kubernetes 1.14: SIG-Network の変更内容](https://qiita.com/summerwind/items/7ca97a5d6e3e2537ebca)

</div></details>

以下は、[Kubernetes v1.33 の Changelog](https://github.com/kubernetes/kubernetes/blob/master/CHANGELOG/CHANGELOG-1.33.md) の中からSIG-Networkに関連した内容を和訳したものです。:memo: の部分は筆者の補足になります。


## Urgent Upgrade Notes

### (No, really, you MUST read this before you upgrade)

<!--
- Fixed the behavior of the `KUBE_PROXY_NFTABLES_SKIP_KERNEL_VERSION_CHECK` environment variable in the nftables proxier. The kernel version check is now skipped only when this variable is explicitly set to a non-empty value. To skip the check, set the `KUBE_PROXY_NFTABLES_SKIP_KERNEL_VERSION_CHECK` environment variable. ([#130401](https://github.com/kubernetes/kubernetes/pull/130401), [@ryota-sakamoto](https://github.com/ryota-sakamoto)) [sig/network]
-->
- nftables プロキシモードにおける環境変数 `KUBE_PROXY_NFTABLES_SKIP_KERNEL_VERSION_CHECK` の動作を修正しました。このカーネルバージョンチェックは、この変数が明示的に非空の値に設定されている場合にのみスキップされるようになりました。チェックをスキップするには、環境変数 `KUBE_PROXY_NFTABLES_SKIP_KERNEL_VERSION_CHECK` を設定してください。([#130401](https://github.com/kubernetes/kubernetes/pull/130401), [@ryota-sakamoto](https://github.com/ryota-sakamoto))
  - :pencil: もともとこのチェックが動作せず、ホストで利用されているnftのバージョンのチェックが実質機能していませんでした
  - :pencil: ホストのnftのバージョンが<= 0.9.8だと、クラッシュする問題を回避するためのチェックのようです

## Changes by Kind

### Deprecation

<!--
- The EndpointSlice `hints` field has graduated to GA. The beta annotation `service.kubernetes.io/topology-mode` is now considered deprecated and will not graduate to GA. It remains operational for backward compatibility. Users are encouraged to use the `spec.trafficDistribution` field in the Service API for topology-aware routing configuration. ([#130742](https://github.com/kubernetes/kubernetes/pull/130742), [@gauravkghildiyal](https://github.com/gauravkghildiyal)) [SIG Network] [sig/network]
- The v1 Endpoints API is now officially deprecated (though still fully supported). The API will not be removed, but all users should use the EndpointSlice API instead. ([#130098](https://github.com/kubernetes/kubernetes/pull/130098), [@danwinship](https://github.com/danwinship)) [SIG API Machinery and Network] [sig/network,sig/api-machinery]
-->
- EndpointSliceの`hints`フィールドがGA（一般提供）に昇格しました。ベータ版のアノテーション`service.kubernetes.io/topology-mode`は非推奨とされ、GAには昇格しません。後方互換性のために引き続き動作しますが、ユーザーはトポロジー対応のルーティング構成のためにService APIの`spec.trafficDistribution`フィールドを使用することが推奨されます。([#130742](https://github.com/kubernetes/kubernetes/pull/130742), [@gauravkghildiyal](https://github.com/gauravkghildiyal)) [SIG Network]
- v1 Endpoints APIは正式に非推奨となりました（ただし、引き続き完全にサポートされます）。このAPIは削除されませんが、すべてのユーザーは代わりにEndpointSlice APIを使用する必要があります。([#130098](https://github.com/kubernetes/kubernetes/pull/130098), [@danwinship](https://github.com/danwinship)) [SIG API Machinery and Network]
  - :pencil: Endpointsには1000以上のターゲットを追跡できない制約があったりするので、早めにEndpointSlicesを利用するように変更することをおすすめします

### API Change

<!--
- Added feature gate `DRAPartitionableDevices`, when enabled, Dynamic Resource Allocation support partitionable devices allocation. ([#130764](https://github.com/kubernetes/kubernetes/pull/130764), [@cici37](https://github.com/cici37)) [SIG API Machinery, Architecture, Auth, CLI, Cloud Provider, Cluster Lifecycle, Instrumentation, Network, Node, Scheduling, Storage and Testing] [sig/network,sig/scheduling,sig/storage,sig/node,sig/api-machinery,sig/cluster-lifecycle,sig/auth,sig/cli,sig/instrumentation,sig/testing,sig/architecture,sig/cloud-provider]
- Improved how the API server responds to **list** requests where the response format negotiates to Protobuf. List responses in Protobuf are marshalled one element at the time, drastically reducing memory needed to serve large collections. Streaming list responses can be disabled via the `StreamingCollectionEncodingToProtobuf` feature gate. ([#129407](https://github.com/kubernetes/kubernetes/pull/129407), [@serathius](https://github.com/serathius)) [SIG API Machinery, Apps, Architecture, Auth, CLI, Cloud Provider, Network, Node, Release, Scheduling, Storage and Testing] [sig/network,sig/scheduling,sig/storage,sig/node,sig/api-machinery,sig/auth,sig/apps,sig/cli,sig/testing,sig/release,sig/architecture,sig/cloud-provider]
- Graduated the `MultiCIDRServiceAllocator` feature gate to stable, and the `DisableAllocatorDualWrite` feature gate to beta (disabled by default).
**Action required** for Kubernetes cluster administrators and for distributions that manage the cluster Service CIDR.
Kubernetes now allows users to define the cluster Service CIDR via an API object: ServiceCIDR.
Distributions or administrators of Kubernetes may want to control that new Service CIDRs added to the cluster do not overlap with other networks on the cluster, that only belong to a specific range of IPs. Administrators may also prefer to retain the existing behavior of only having one ServiceCIDR per cluster. You can use `ValidatingAdmissionPolicy` to achieve this. ([#128971](https://github.com/kubernetes/kubernetes/pull/128971), [@aojea](https://github.com/aojea)) [SIG Apps, Architecture, Auth, CLI, Etcd, Network, Release and Testing] [sig/network,sig/auth,sig/apps,sig/cli,sig/testing,sig/release,sig/architecture,sig/etcd]
- The Service trafficDistribution field, including the PreferClose option, has graduated
to GA. Services that do not have the field configured will continue to operate
with their existing behavior. Refer to the documentation
https://kubernetes.io/docs/concepts/services-networking/service/#traffic-distribution
for more details. ([#130673](https://github.com/kubernetes/kubernetes/pull/130673), [@gauravkghildiyal](https://github.com/gauravkghildiyal)) [SIG Apps, Network and Testing] [sig/network,sig/apps,sig/testing]
- The minimum value validation of ReplicationController's `replicas` and `minReadySeconds` fields have been migrated to declarative validation. The requiredness of both fields is also declaratively validated.
If the `DeclarativeValidation` feature gate is enabled, mismatches with existing validation are reported via metrics.
If the `DeclarativeValidationTakeover` feature gate is enabled, declarative validation is the primary source of errors for migrated fields. ([#130725](https://github.com/kubernetes/kubernetes/pull/130725), [@jpbetz](https://github.com/jpbetz)) [SIG API Machinery, Apps, Architecture, CLI, Cluster Lifecycle, Instrumentation, Network, Node and Storage] [sig/network,sig/storage,sig/node,sig/api-machinery,sig/cluster-lifecycle,sig/apps,sig/cli,sig/instrumentation,sig/architecture]
- When the `PreferSameTrafficDistribution` feature gate is enabled, a new `trafficDistribution` value `PreferSameNode` is available, which attempts to always route Service connections to an endpoint on the same node as the client. Additionally, `PreferSameZone` is introduced as an alias for `PreferClose`. ([#130844](https://github.com/kubernetes/kubernetes/pull/130844), [@danwinship](https://github.com/danwinship)) [SIG API Machinery, Apps, Network and Windows] [sig/network,sig/api-machinery,sig/apps,sig/windows]
- When the `StrictIPCIDRValidation` feature gate is enabled, Kubernetes will be
slightly stricter about what values will be accepted as IP addresses and network
address ranges (“CIDR blocks”).

In particular, octets within IPv4 addresses are not allowed to have any leading
`0`s, and IPv4-mapped IPv6 values (e.g. `::ffff:192.168.0.1`) are forbidden.
These sorts of values can potentially cause security problems when different
components interpret the same string as referring to different IP addresses
(as in CVE-2021-29923).

This tightening applies only to fields in built-in API kinds, and not to
custom resource kinds, values in Kubernetes configuration files, or
command-line arguments.

(When the feature gate is disabled, creating an object with such an invalid
IP or CIDR value will result in a warning from the API server about the fact
that it will be rejected in the future.) ([#122550](https://github.com/kubernetes/kubernetes/pull/122550), [#128786](https://github.com/kubernetes/kubernetes/pull/128786), [@danwinship](https://github.com/danwinship)) [SIG API Machinery, Apps, Network, Node, Scheduling and Testing] [sig/network,sig/scheduling,sig/node,sig/api-machinery,sig/apps,sig/testing,sig/network,sig/node,sig/apps]

-->
- フィーチャーゲート`DRAPartitionableDevices`が追加されました。このゲートを有効にすると、動的リソース割り当てが分割可能なデバイスの割り当てをサポートします。([#130764](https://github.com/kubernetes/kubernetes/pull/130764), [@cici37](https://github.com/cici37)) [SIG API Machinery, Architecture, Auth, CLI, Cloud Provider, Cluster Lifecycle, Instrumentation, Network, Node, Scheduling, Storage and Testing]
  - :pencil: GPUやSR-IOVなどで一つのデバイスを複数のワークロードで共有するための機能追加です。
- APIサーバーが**list**リクエストに応答する方法を改善しました。レスポンス形式がProtobufにネゴシエートされる場合、Protobufでのリストレスポンスは1要素ずつマーシャリングされ、大規模なコレクションを提供するために必要なメモリが大幅に削減されます。ストリーミングリストレスポンスは、`StreamingCollectionEncodingToProtobuf`フィーチャーゲートを使用して無効化できます。([#129407](https://github.com/kubernetes/kubernetes/pull/129407), [@serathius](https://github.com/serathius)) [SIG API Machinery, Apps, Architecture, Auth, CLI, Cloud Provider, Network, Node, Release, Scheduling, Storage and Testing]
- フィーチャーゲート `MultiCIDRServiceAllocator` が安定版に昇格し、`DisableAllocatorDualWrite` フィーチャーゲートがベータ版（デフォルトでは無効）に昇格しました。
**アクションが必要です**: Kubernetesクラスタ管理者およびクラスタのService CIDRを管理するディストリビューションに対して。
Kubernetesでは、APIオブジェクト `ServiceCIDR` を介してクラスタのService CIDRを定義できるようになりました。
Kubernetesのディストリビューションまたは管理者は、新しいService CIDRがクラスタ内の他のネットワークと重複しないように制御したり、特定のIP範囲にのみ属するようにしたい場合があります。また、管理者はクラスタごとに1つのService CIDRのみを持つ既存の動作を維持したい場合もあります。この目的を達成するために `ValidatingAdmissionPolicy` を使用できます。([#128971](https://github.com/kubernetes/kubernetes/pull/128971), [@aojea](https://github.com/aojea)) [SIG Apps, Architecture, Auth, CLI, Etcd, Network, Release and Testing]
- Serviceの`trafficDistribution`フィールド（`PreferClose`オプションを含む）がGA（一般提供）に昇格しました。このフィールドが設定されていないServiceは、既存の動作を継続します。詳細については、以下のドキュメントを参照してください。  
  https://kubernetes.io/docs/concepts/services-networking/service/#traffic-distribution  
  ([#130673](https://github.com/kubernetes/kubernetes/pull/130673), [@gauravkghildiyal](https://github.com/gauravkghildiyal)) [SIG Apps, Network and Testing]
- ReplicationControllerの`replicas`および`minReadySeconds`フィールドの最小値バリデーションが宣言型バリデーションに移行されました。これらのフィールドの必須性も宣言型でバリデーションされます。  
  `DeclarativeValidation`フィーチャーゲートが有効化されている場合、既存のバリデーションとの不一致がメトリクスを通じて報告されます。  
  `DeclarativeValidationTakeover`フィーチャーゲートが有効化されている場合、移行されたフィールドに対するエラーの主なソースとして宣言型バリデーションが使用されます。  
  ([#130725](https://github.com/kubernetes/kubernetes/pull/130725), [@jpbetz](https://github.com/jpbetz)) [SIG API Machinery, Apps, Architecture, CLI, Cluster Lifecycle, Instrumentation, Network, Node and Storage]
- `PreferSameTrafficDistribution`フィーチャーゲートが有効化されている場合、新しい`trafficDistribution`値である`PreferSameNode`が利用可能になります。この値は、クライアントと同じノード上のエンドポイントに常にService接続をルーティングしようとします。さらに、`PreferSameZone`が`PreferClose`のエイリアスとして導入されました。  
  ([#130844](https://github.com/kubernetes/kubernetes/pull/130844), [@danwinship](https://github.com/danwinship)) [SIG API Machinery, Apps, Network and Windows]
  - :pencil: 嬉しい機能追加ですね！node-local-dns-cacheなどノード上に動作しているアプリケーションに動作しているPodへ通信を向けたいが、そのPodの更新や不調時には別のノードのPodへ通信を向けてほしい時に嬉しいですね。
  - :pencil: SameNodeが利用できないときはPreferSameZone、それも満たせない場合はクラスタ全体で通信が分散されるようです
- `StrictIPCIDRValidation`フィーチャーゲートが有効化されている場合、KubernetesはIPアドレスやネットワークアドレス範囲（「CIDRブロック」）として受け入れられる値に対して若干厳格になります。 特に、IPv4アドレス内のオクテットは先頭に`0`を持つことが許されず、IPv4マップされたIPv6値（例: `::ffff:192.168.0.1`）は禁止されます。これらの値は、異なるコンポーネントが同じ文字列を異なるIPアドレスとして解釈する場合にセキュリティ問題を引き起こす可能性があります（例: CVE-2021-29923）。この厳格化は、組み込みのAPI種類のフィールドにのみ適用され、カスタムリソース種類、Kubernetes構成ファイル内の値、またはコマンドライン引数には適用されません。（フィーチャーゲートが無効化されている場合、そのような無効なIPまたはCIDR値を持つオブジェクトを作成すると、将来的に拒否されることをAPIサーバーが警告します。）  
（[#122550](https://github.com/kubernetes/kubernetes/pull/122550), [#128786](https://github.com/kubernetes/kubernetes/pull/128786), [@danwinship](https://github.com/danwinship)）[SIG API Machinery, Apps, Network, Node, Scheduling and Testing]
  - :pencil: パーサーによって解釈が異なるようなIPアドレスの表記に対するvalidationを追加する変更です
  - :pencil: `010.002.003.004` のようなアドレスは例えばlibcベースのアプリケーションでは0から始まるオクテットが8進数として解釈されるらしく、パーサーによって解釈が異なり、`::ffff:192.168.0.1` IPv6の中にIPv4アドレスが含まれるアドレスもパーサーによって解釈が異なる問題があります

### Feature

<!--
- Added a `/flagz` endpoint for kube-proxy ([#128985](https://github.com/kubernetes/kubernetes/pull/128985), [@yongruilin](https://github.com/yongruilin)) [SIG Instrumentation and Network] [sig/network,sig/instrumentation]
  - :pencil: ComponentFlagz feature gateが有効化されることで動作します。
- Added a `/status` endpoint for kube-proxy ([#128989](https://github.com/kubernetes/kubernetes/pull/128989), [@Henrywu573](https://github.com/Henrywu573)) [SIG Instrumentation and Network] [sig/network,sig/instrumentation]
  - :pencil: おそらくchangelogの誤りで `/statusz` エンドポイントの追加ですね
  - :pencil: `/flagz` と同様にComponentFlagz feature gateが有効化されることで動作します
- `DRAResourceClaimDeviceStatus` is now turned on by default allowing DRA-Drivers to report device status data for each allocated device. ([#130814](https://github.com/kubernetes/kubernetes/pull/130814), [@LionelJouin](https://github.com/LionelJouin)) [SIG Network and Node] [sig/network,sig/node]
- `DRAResourceClaimDeviceStatus` is now turned on by default allowing DRA-Drivers to report device status data for each allocated device. ([#130814](https://github.com/kubernetes/kubernetes/pull/130814), [@LionelJouin](https://github.com/LionelJouin)) [SIG Network and Node] [sig/network,sig/node]
- Endpoints resources created by the Endpoints controller now include a label indicating this.
Users who manually create Endpoints can also add this label, but they should consider
using `EndpointSlices` instead. ([#130564](https://github.com/kubernetes/kubernetes/pull/130564), [@danwinship](https://github.com/danwinship)) [SIG Apps and Network] [sig/network,sig/apps]
- Extended the schema of the kube-proxy `healthz` and `livez` HTTP endpoints to incorporate information about the corresponding IP family. ([#129271](https://github.com/kubernetes/kubernetes/pull/129271), [@aroradaman](https://github.com/aroradaman)) [SIG Network and Windows] [sig/network,sig/windows]
- Implemented full support for contextual logging in  `client-go/rest`. `BackoffManagerWithContext` was used instead of  `BackoffManager` to ensure that the caller could interrupt the sleep. ([#127709](https://github.com/kubernetes/kubernetes/pull/127709), [@pohly](https://github.com/pohly)) [SIG API Machinery, Architecture, Auth, Cloud Provider, Instrumentation, Network and Node] [sig/network,sig/node,sig/api-machinery,sig/auth,sig/instrumentation,sig/architecture,sig/cloud-provider]
- Promoted `RelaxedDNSSearchValidation` to beta, allowing for Pod search domains to be a single dot "." or contain an underscore "_". ([#130128](https://github.com/kubernetes/kubernetes/pull/130128), [@adrianmoisey](https://github.com/adrianmoisey)) [SIG Apps and Network] [sig/network,sig/apps]
- Respect the incoming trace context for authenticated requests to the kube-apiserver for APIServer tracing. ([#127053](https://github.com/kubernetes/kubernetes/pull/127053), [@dashpole](https://github.com/dashpole)) [SIG API Machinery, Architecture, Auth, CLI, Cloud Provider, Instrumentation, Network, Node and Testing] [sig/network,sig/node,sig/api-machinery,sig/auth,sig/cli,sig/instrumentation,sig/testing,sig/architecture,sig/cloud-provider]
- The nftables mode of kube-proxy is now GA. (The iptables mode remains the
default; you can select the nftables mode by passing `--proxy-mode nftables`
or using a config file with `mode: nftables`. See the kube-proxy documentation
for more details.) ([#129653](https://github.com/kubernetes/kubernetes/pull/129653), [@danwinship](https://github.com/danwinship)) [SIG Network] [sig/network]
- Various controllers that write out IP address or CIDR values to API objects now
ensure that they always write out the values in canonical form. ([#130101](https://github.com/kubernetes/kubernetes/pull/130101), [@danwinship](https://github.com/danwinship)) [SIG Apps, Network and Node] [sig/network,sig/node,sig/apps]
- `kubeproxy_conntrack_reconciler_deleted_entries_total` metric can be used to track cumulative sum of conntrack flows cleared by reconciler. ([#130204](https://github.com/kubernetes/kubernetes/pull/130204), [@aroradaman](https://github.com/aroradaman)) [sig/network]
- `kubeproxy_conntrack_reconciler_sync_duration_seconds` metric can now be used to track conntrack reconciliation latency. ([#130200](https://github.com/kubernetes/kubernetes/pull/130200), [@aroradaman](https://github.com/aroradaman)) [sig/network]
-->
- kube-proxyに `/flagz` エンドポイントを追加しました（[#128985](https://github.com/kubernetes/kubernetes/pull/128985)、[@yongruilin](https://github.com/yongruilin)）[SIG Instrumentation and Network]
  - :pencil: ComponentFlagz feature gateが有効化されることで動作します。
- kube-proxyに `/status` エンドポイントを追加しました ([#128989](https://github.com/kubernetes/kubernetes/pull/128989), [@Henrywu573](https://github.com/Henrywu573)) [SIG Instrumentation and Network]
  - :pencil: こちらおそらくchangelogの誤りで `/statusz` エンドポイントの追加です
  - :pencil: `/flagz` と同様にComponentFlagz feature gateが有効化されることで動作します。 
- DRAResourceClaimDeviceStatusがデフォルトで有効化され、DRAドライバーが各割り当て済みデバイスのステータスデータを報告できるようになりました。([#130814](https://github.com/kubernetes/kubernetes/pull/130814), [@LionelJouin](https://github.com/LionelJouin)) [SIG Network and Node]
- Endpointsコントローラーによって作成されたEndpointsリソースには、これを示すラベルが含まれるようになりました。  
  手動でEndpointsを作成するユーザーもこのラベルを追加できますが、代わりに`EndpointSlices`を使用することを検討してください。  
  ([#130564](https://github.com/kubernetes/kubernetes/pull/130564), [@danwinship](https://github.com/danwinship)) [SIG Apps and Network]
  - :pencil: Endpointsの非推奨化の対応の一つでしょうか？ Endpointコントローラによって管理されているEndpointを識別・トラッキングできるようにするための変更です
- kube-proxyの`healthz`および`livez`HTTPエンドポイントのスキーマが拡張され、対応するIPファミリーに関する情報が組み込まれるようになりました。  
  ([#129271](https://github.com/kubernetes/kubernetes/pull/129271), [@aroradaman](https://github.com/aroradaman)) [SIG Network and Windows]
- `client-go/rest`において、コンテキストに基づくロギングの完全なサポートを実装しました。`BackoffManager`の代わりに`BackoffManagerWithContext`が使用されるようになり、呼び出し元がスリープを中断できるようになりました。  
  ([#127709](https://github.com/kubernetes/kubernetes/pull/127709), [@pohly](https://github.com/pohly)) [SIG API Machinery, Architecture, Auth, Cloud Provider, Instrumentation, Network and Node]
- `RelaxedDNSSearchValidation`がベータ版に昇格しました。これにより、Podの検索ドメインとして単一のドット（"."）やアンダースコア（"_"）を含むことが許可されるようになりました。  
  ([#130128](https://github.com/kubernetes/kubernetes/pull/130128), [@adrianmoisey](https://github.com/adrianmoisey)) [SIG Apps and Network]
- 認証されたリクエストに対して、kube-apiserverのトレースコンテキストを尊重するようになりました。  
  ([#127053](https://github.com/kubernetes/kubernetes/pull/127053), [@dashpole](https://github.com/dashpole)) [SIG API Machinery, Architecture, Auth, CLI, Cloud Provider, Instrumentation, Network, Node and Testing]
- kube-proxyのnftablesモードがGA（一般提供）に昇格しました。（iptablesモードは引き続きデフォルトとして残ります。）  
  nftablesモードを選択するには、`--proxy-mode nftables`を指定するか、設定ファイルで`mode: nftables`を使用してください。詳細については、kube-proxyのドキュメントを参照してください。  
  ([#129653](https://github.com/kubernetes/kubernetes/pull/129653), [@danwinship](https://github.com/danwinship)) [SIG Network]
- IPアドレスやCIDR値をAPIオブジェクトに書き込むさまざまなコントローラーが、これらの値を常に正規化された形式で書き込むようになりました。  
  ([#130101](https://github.com/kubernetes/kubernetes/pull/130101), [@danwinship](https://github.com/danwinship)) [SIG Apps, Network and Node]
  - :pencil: [#122550](https://github.com/kubernetes/kubernetes/pull/122550) と関連する変更のようです
- `kubeproxy_conntrack_reconciler_deleted_entries_total`メトリクスを使用して、リコンサイラーによってクリアされたconntrackフローの累積合計を追跡できるようになりました。([#130204](https://github.com/kubernetes/kubernetes/pull/130204), [@aroradaman](https://github.com/aroradaman))
- `kubeproxy_conntrack_reconciler_sync_duration_seconds`メトリクスを使用して、conntrackリコンサイレーションのレイテンシーを追跡できるようになりました。([#130200](https://github.com/kubernetes/kubernetes/pull/130200), [@aroradaman](https://github.com/aroradaman))

### Documentation

- なし

### Bug or Regression

<!--
- Fixed a bug where the kube-proxy `EndpointSliceCache` memory experienced a leak. ([#128929](https://github.com/kubernetes/kubernetes/pull/128929), [@orange30](https://github.com/orange30)) [sig/network]
- Fixed an issue with Kubernetes-style sidecar containers (in other words: init containers
with an Always restart policy) and Services. Before the fix, named ports
exposed by a sidecar could not be accessed using a Service. ([#128850](https://github.com/kubernetes/kubernetes/pull/128850), [@toVersus](https://github.com/toVersus)) [SIG Network and Testing] [sig/network,sig/testing]
- Fixed a rare and sporadic network issues that occurred when the host was under heavy load. ([#130256](https://github.com/kubernetes/kubernetes/pull/130256), [@adrianmoisey](https://github.com/adrianmoisey)) [sig/network]
- Fixed a 1.32 regression kube-proxy, when using a Service with External or LoadBalancer IPs on UDP services , was consuming a large amount of CPU because it was not filtering by the Service destination port and trying to delete all the UDP entries associated to the service. ([#130484](https://github.com/kubernetes/kubernetes/pull/130484), [@aojea](https://github.com/aojea)) [SIG Network] [sig/network]
- Includes WebSockets HTTPS proxy support ([#129872](https://github.com/kubernetes/kubernetes/pull/129872), [@seans3](https://github.com/seans3)) [SIG API Machinery, Architecture, Auth, CLI, Cloud Provider, Instrumentation, Network and Node] [sig/network,sig/node,sig/api-machinery,sig/auth,sig/cli,sig/instrumentation,sig/architecture,sig/cloud-provider]
- kube-proxy: Fixed a potential memory leak that could occur in clusters with a high volume of UDP workflows. ([#130032](https://github.com/kubernetes/kubernetes/pull/130032), [@aroradaman](https://github.com/aroradaman)) [sig/network]
- Removed the limitation on exposing port 10250 externally using a Service. ([#129174](https://github.com/kubernetes/kubernetes/pull/129174), [@RyanAoh](https://github.com/RyanAoh)) [SIG Apps and Network] [sig/network,sig/apps]
- When using the Alpha `DRAResourceClaimDeviceStatus` feature, IP address values
in the `NetworkDeviceData` are now validated more strictly. ([#129219](https://github.com/kubernetes/kubernetes/pull/129219), [@danwinship](https://github.com/danwinship)) [SIG Network] [sig/network]
- kube-apiserver: Fixes an issue updating the default ServiceCIDR API object and creating dual-stack Service API objects when `--service-cluster-ip-range` flag passed to kube-apiserver is changed from single-stack to dual-stack. ([#131263](https://github.com/kubernetes/kubernetes/pull/131263), [@aojea](https://github.com/aojea)) [SIG API Machinery, Network and Testing] [sig/network,sig/api-machinery,sig/testing]
-->

- kube-proxyの`EndpointSliceCache`メモリで発生していたリークを修正しました。([#128929](https://github.com/kubernetes/kubernetes/pull/128929), [@orange30](https://github.com/orange30))
- Kubernetesスタイルのサイドカーコンテナ（つまり、`Always`再起動ポリシーを持つinitコンテナ）とServiceに関する問題を修正しました。この修正以前は、サイドカーによって公開された名前付きポートにServiceを使用してアクセスすることができませんでした。([#128850](https://github.com/kubernetes/kubernetes/pull/128850), [@toVersus](https://github.com/toVersus)) [SIG Network and Testing]
- ホストが高負荷の状態にあるときに発生する、まれで断続的なネットワーク問題を修正しました。([#130256](https://github.com/kubernetes/kubernetes/pull/130256), [@adrianmoisey](https://github.com/adrianmoisey))
- Kubernetes 1.32で発生したリグレッションを修正しました。この問題では、UDPサービスでExternalまたはLoadBalancer IPを使用するServiceを利用している場合、kube-proxyがServiceの宛先ポートでフィルタリングを行わず、Serviceに関連付けられたすべてのUDPエントリを削除しようとして大量のCPUを消費していました。([#130484](https://github.com/kubernetes/kubernetes/pull/130484), [@aojea](https://github.com/aojea)) [SIG Network]
- WebSocketsのHTTPSプロキシサポートを追加しました（[#129872](https://github.com/kubernetes/kubernetes/pull/129872), [@seans3](https://github.com/seans3)) [SIG API Machinery, Architecture, Auth, CLI, Cloud Provider, Instrumentation, Network and Node]
- kube-proxy: UDPワークロードが大量に存在するクラスタで発生する可能性があったメモリリークを修正しました。([#130032](https://github.com/kubernetes/kubernetes/pull/130032), [@aroradaman](https://github.com/aroradaman))
  - :pencil: [#130484](https://github.com/kubernetes/kubernetes/pull/130484)と関連する修正で、この修正と合わせて対応が完了となっています
  - :pencil: よくありがちなエラーを配列として保存していたことで、規模によってはメモリの使用量が増加してしまっていたようです
- Serviceを使用してポート10250を外部公開する際の制限を削除しました。([#129174](https://github.com/kubernetes/kubernetes/pull/129174), [@RyanAoh](https://github.com/RyanAoh)) [SIG Apps and Network]
  - :pencil: 知らなかったのですが、type: LoadBalancerの公開ポートとして、kubeletのAPIのポートを制限していたようで、その制限がなくなったようです
- Alpha版の`DRAResourceClaimDeviceStatus`機能を使用している場合、`NetworkDeviceData`内のIPアドレス値のバリデーションがより厳格になりました。([#129219](https://github.com/kubernetes/kubernetes/pull/129219), [@danwinship](https://github.com/danwinship)) [SIG Network]
- kube-apiserver: `--service-cluster-ip-range`フラグをkube-apiserverに渡す際に、シングルスタックからデュアルスタックへ変更した場合、デフォルトのServiceCIDR APIオブジェクトの更新やデュアルスタックのService APIオブジェクトの作成で発生していた問題を修正しました。([#131263](https://github.com/kubernetes/kubernetes/pull/131263), [@aojea](https://github.com/aojea)) [SIG API Machinery, Network and Testing]

### Other (Cleanup or Flake)

<!--
- Extended the schema of kube-proxy's metrics / endpoints to incorporate information about the corresponding IP family. ([#129173](https://github.com/kubernetes/kubernetes/pull/129173), [@aroradaman](https://github.com/aroradaman)) [SIG Network and Windows] [sig/network,sig/windows]
- Fixed a linting issue in `TestNodeDeletionReleaseCIDR`. ([#128856](https://github.com/kubernetes/kubernetes/pull/128856), [@adrianmoisey](https://github.com/adrianmoisey)) [SIG Apps and Network] [sig/network,sig/apps]
- Implemented logging for failed transactions and the full table in kube-proxy with nftables when using log level 4 or higher. Logging is rate-limited to one entry every 24 hours to avoid performance issues.  ([#128886](https://github.com/kubernetes/kubernetes/pull/128886), [@npinaeva](https://github.com/npinaeva)) [sig/network]
- kubelet no longer logs multiple errors when running on a system with no iptables binaries installed. ([#129826](https://github.com/kubernetes/kubernetes/pull/129826), [@danwinship](https://github.com/danwinship)) [SIG Network and Node] [sig/network,sig/node]
- Reduced log verbosity for high-frequency, low-value log entries in Job, IPAM, and ReplicaSet controllers by adjusting them to V(2), V(4) and V(4) respectively. This change minimizes log noise while maintaining access to these logs when needed. ([#130591](https://github.com/kubernetes/kubernetes/pull/130591), [@fmuyassarov](https://github.com/fmuyassarov)) [SIG Apps and Network] [sig/network,sig/apps]
- Removed alpha support for Windows HostNetwork containers. ([#130250](https://github.com/kubernetes/kubernetes/pull/130250), [@marosset](https://github.com/marosset)) [SIG Network, Node and Windows] [sig/network,sig/node,sig/windows]
- Removed generally available feature gate `KubeProxyDrainingTerminatingNodes`. ([#129692](https://github.com/kubernetes/kubernetes/pull/129692), [@alexanderConstantinescu](https://github.com/alexanderConstantinescu)) [SIG Network] [sig/network]
- Updated the etcd client library to `v3.5.21` ([#131103](https://github.com/kubernetes/kubernetes/pull/131103), [@ahrtr](https://github.com/ahrtr)) [SIG API Machinery, Architecture, Auth, CLI, Cloud Provider, Cluster Lifecycle, Etcd, Instrumentation, Network, Node and Storage] [sig/network,sig/storage,sig/node,sig/api-machinery,sig/cluster-lifecycle,sig/auth,sig/cli,sig/instrumentation,sig/architecture,sig/cloud-provider,sig/etcd]
-->

- kube-proxyのメトリクスやエンドポイントのスキーマが拡張され、対応するIPファミリーに関する情報が組み込まれるようになりました。([#129173](https://github.com/kubernetes/kubernetes/pull/129173), [@aroradaman](https://github.com/aroradaman)) [SIG Network and Windows]
- `TestNodeDeletionReleaseCIDR`におけるリントエラーを修正しました。([#128856](https://github.com/kubernetes/kubernetes/pull/128856), [@adrianmoisey](https://github.com/adrianmoisey)) [SIG Apps and Network]
- kube-proxyのnftables利用時、ログレベル4以上で失敗したトランザクションやテーブル全体の内容をログ出力するようになりました。パフォーマンスへの影響を避けるため、ログは24時間に1回までに制限されています。([#128886](https://github.com/kubernetes/kubernetes/pull/128886), [@npinaeva](https://github.com/npinaeva))
- iptablesバイナリがインストールされていないシステム上でkubeletを実行した場合、複数回エラーをログ出力しなくなりました。([#129826](https://github.com/kubernetes/kubernetes/pull/129826), [@danwinship](https://github.com/danwinship)) [SIG Network and Node]
- Job、IPAM、ReplicaSetコントローラーで高頻度かつ価値の低いログエントリのログレベルをそれぞれV(2)、V(4)、V(4)に調整し、ログの冗長性を削減しました。この変更により、必要な場合にこれらのログへアクセスできる状態を維持しつつ、ログノイズが最小限になります。([#130591](https://github.com/kubernetes/kubernetes/pull/130591), [@fmuyassarov](https://github.com/fmuyassarov)) [SIG Apps and Network] 
- Windows HostNetworkコンテナのアルファサポートを削除しました。([#130250](https://github.com/kubernetes/kubernetes/pull/130250), [@marosset](https://github.com/marosset)) [SIG Network, Node and Windows]
- 一般提供されていたフィーチャーゲート `KubeProxyDrainingTerminatingNodes` を削除しました。([#129692](https://github.com/kubernetes/kubernetes/pull/129692), [@alexanderConstantinescu](https://github.com/alexanderConstantinescu)) [SIG Network]
- etcdクライアントライブラリを`v3.5.21`に更新しました（[#131103](https://github.com/kubernetes/kubernetes/pull/131103), [@ahrtr](https://github.com/ahrtr)) [SIG API Machinery, Architecture, Auth, CLI, Cloud Provider, Cluster Lifecycle, Etcd, Instrumentation, Network, Node and Storage]