выглядит примерно так

https://gist.github.com/orita/9168282

нюанс в том, что весь yum install нужно делать в один слой. И потом сразу клин там же.

нюанс в том, что весь yum install нужно делать в один слой. И потом сразу клин там же.

yum -y install mercurial wget unzip lsof openssh-clients epel-release \ && yum -y update \ ... pip install x10

тут нету yum clean

без него у тебя yum насасывает файлов и кэшей, которые потом лежат и могут хоть 40ГиБ съесть

без него у тебя yum насасывает файлов и кэшей, которые потом лежат и могут хоть 40ГиБ съесть

Ого. Спасибо . Сейчас внимательно прочитаю

Здравствуйте :)

Всем привет!

http://neprivet.ru/

как-то по вахтерски что-ли)

Кто как закрывает порты контейнеров из вне? Т.е. сейчас доступ к DB есть через ip:port. А нужно закрыть такую возможность. Через ufw и правилами iptables не получается...

а вопрос классный. тоже интересно стало

Кто как закрывает порты контейнеров из вне? Т.е. сейчас доступ к DB есть через ip:port. А нужно закрыть такую возможность. Через ufw и правилами iptables не получается...

почему не получается?

т.как доступ при правилах не запрещают доступ

скорее всего из-за самого Докера, который сам вносит правила в iptables

sudo iptables -A INPUT -p tcp --dport 3306 -j DROP

но достучаться все так же могу до mysql

sudo ufw deny 3306

аналогично

Кто как закрывает порты контейнеров из вне? Т.е. сейчас доступ к DB есть через ip:port. А нужно закрыть такую возможность. Через ufw и правилами iptables не получается...

глупости

у тебя есть отдельная цепочка DOCKER-USER

либо ты на этапе прероутинга отшибаешь левые пакеты

-A INPUT -s 192.168.3.x -i eth0 -p tcp -m tcp --dport 3306 -m comment --comment "" -j DROP -A INPUT -s 192.168.3.x -i eth0 -p tcp -m tcp --sport 3306 -m comment --comment "" -j DROP

а еще можешь полностью взять на себя менеджмент правилами файрволла, чтобы докер не подгаживал

-A INPUT -s 192.168.3.x -i eth0 -p tcp -m tcp --dport 3306 -m comment --comment "" -j DROP -A INPUT -s 192.168.3.x -i eth0 -p tcp -m tcp --sport 3306 -m comment --comment "" -j DROP

но это прям затаскивает целый кусок инфраструктуры

cм сам как у тебя

я прероутингом отшибал

сам прописывать правила для докера это конено хорошо) но думал что есть промежуточный вариант, а именно дописывать правила для тех контейнеров, которые хочешь отсечь

тут нету yum clean

Не подскажешь ? Монтирую директорию из нее беру файл с этим всё ок. Но нужно туда тоже копировать несколько файлов что бы получить их на хосте

сам прописывать правила для докера это конено хорошо) но думал что есть промежуточный вариант, а именно дописывать правила для тех контейнеров, которые хочешь отсечь

Вообще этим должна инфраструктура заниматьмя

Не подскажешь ? Монтирую директорию из нее беру файл с этим всё ок. Но нужно туда тоже копировать несколько файлов что бы получить их на хосте

Я думал не хватает прав и дал группе докер права на директорию . Не помогло

Старый Хрыч, [15.01.19 16:47] version: '3.6' services: nginx-proxy: image: jwilder/nginx-proxy ports: - "14623:80" volumes: - /var/run/docker.sock:/tmp/docker.sock:ro whoami: image: proxynode expose: - "80" deploy: replicas: 100 вдохновлялся вот этим version: '2' services: nginx-proxy: image: jwilder/nginx-proxy ports: - "80:80" volumes: - /var/run/docker.sock:/tmp/docker.sock:ro whoami: image: jwilder/whoami environment: - VIRTUAL_HOST=whoami.local но решил заменить на один из примеров где было expose: - "80"

по сути есть контейнер proxynode, оно клиенту выдаёт проксю, от jwilder/nginx-proxy требуется тупо передать клиента одной из 100 реплик прокс

по итогу контейнер с jwilder/nginx-proxy недоступен из вне

нет, более того, если зайти на контейнер с jwilder/nginx-proxy netstat скажет Active Internet connections (only servers) Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name tcp 0 0 127.0.0.11:37676 0.0.0.0:* LISTEN - tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN 36/nginx: master pr udp 0 0 127.0.0.11:49078 0.0.0.0:* - Active UNIX domain sockets (only servers) Proto RefCnt Flags Type State I-Node PID/Program name Path

tcp6 0 0 :::14623 :::* LISTEN 91095/dockerd а вот так это в netstat

но 101 контейнер созданы

Создай 1 контейнер

Скейлить будешь потом

ну разница в 1 парметре

и вряд ли оно в нём дело

да, docker stack deploy proxy.yml proxy

мне не нужно уйму виртуалхостов, мне нужен минимальный балансинг и чтобы 100-1000 контейнеров были доступны с 1 порта и адреса

😕вот куда деваются вечно люди, которые говорят что на мои вопросы любой ответить может

ну как бы а у нас 98(по нашему) в принципе нет

такого уровня

У нас бы он стоил все 250

Оффтоп

контейнер с тором

Хрыч сделай сначала без скейла

Хрыч сделай сначала без скейла

Старый Хрыч, [15.01.19 18:28] Старый Хрыч, [15.01.19 16:47] version: '3.6' services: nginx-proxy: image: jwilder/nginx-proxy ports: - "14623:80" volumes: - /var/run/docker.sock:/tmp/docker.sock:ro whoami: image: proxynode expose: - "80" вот без скейла, разницы нет

ip:порт, при наличии серта клиентского выдаётся соединение

А зачем там сокет торчит

В томах

А зачем там сокет торчит

https://github.com/jwilder/nginx-proxy дефолт у человека такой

А ты знаешь зачем?

Или опять взял не глядя и возмущаешься

Или опять взял не глядя и возмущаешься

ну раз ты гений расскажи как правильно

А зачем там сокет торчит

Чтоб рядом поднять контейнеры для майнинга

Убери сокет Залепи страничку тудыть Проверь что у тебя хоть проброс работает Или логи глянь

А то в угадайку играть будем

Убери сокет Залепи страничку тудыть Проверь что у тебя хоть проброс работает Или логи глянь

без волюма не стартует jwilder/nginx-proxy

Ты половину истории опускаешь )

Я повторюсь, что я у себя запустил с твоим конфигом, ну, другим клиентским образом (у меня такого нет, очевидно)

Вывод - проблема в окружении.

docker run -d --rm -p 9593:80 --ulimit nofile=40000:40000 --ulimit nproc=40000:40000 proxynode ну вот так же запускаетсяч

docker run -d --rm -p 9593:80 --ulimit nofile=40000:40000 --ulimit nproc=40000:40000 proxynode ну вот так же запускаетсяч

А в докер-компоузе у тебя ведь улимиты не поставлены ?!

Но это если докапываться

поставлю позже

И пользуйся апострофом

this is code

this Is multiline code

мне бы понять почему nginx ports: - "14623:80"

не применяет на вывод во внещний мир

У тебя swarm?

У тебя swarm?

Да