8e0a2a8f18
O ipBlock da deny-cross-tenant nao vale para destino em outro namespace (o k3s avalia depois do DNAT), entao a variavel sozinha daria FalhaTemporaria. Vai junto a netpol estreita: so o servico-captacao, so o pod do controlador, so a porta 8080, so saida.