Что мне даст разбитие на два контейнера

Ребят, а как разрешить доккеру шарить волюмы, которые находятся не в корне проекта?

Делал раньше это через GUI(на локалке), но как это сделать через конфиг доккера/комманды?

Никак не найду в инете

Или для доккера на убунте нету никаких ограничений в шаринге директорий хоста?

Или для доккера на убунте нету никаких ограничений в шаринге директорий хоста?

Если на директорию есть права, то никаких проблем

Выскакивает ошибка read-only file system, даже при попытке запустить docker-compose от sudo юзера

Жара. Тупость. Был забытый :ro флаг для волюма

а некто не наступал на косяк с docker swarm mode когда он в окружение, к примеру, продакшен, всовует рандомно контейнер из окрежения стейджтинг?

Так сварм сам по себе не организует структуру

Если такое происходит, то у тебя это с архитектурой какие то проблемы

У всех по своему реализован данный процесс

Ку, как лечить докер контейнер с ufw и постгрес Ufw блокирует Пробовал дефолтно поставить ufw forwarding policy, но безрезультатно

May 6 13:53:26 pechenex kernel: [923885.815638] [UFW BLOCK] IN=br-e33e3dded58a OUT= PHYSIN=veth28ef27e MAC=02:42:41:66:67:c4:02:42:ac:12:00:02:08:00 SRC=172.18.0.2 DST=172.18.0.1 LEN=60 TOS=0x00 PREC=0x00 TTL=64 ID=60409 DF PROTO=TCP SPT=46608 DPT=5432 WINDOW=29200 RES=0x00 SYN URGP=0

Есть книжка по докеру?

Есть

Есть книжка по докеру?

Я вот эту купил: https://dmkpress.com/catalog/computer/os/978-5-97060-426-7/ но не прочитал, поставил на полку, так что не могу сказать как она)

Есть книжка по докеру?

Тут в истории глянь

Есть книжка по докеру?

^

^

Спасибо

☺️

^

Огромно е человеческое спасибо

https://t.co/nxQf6ctTij

Вот ещё книга с картинками

Вот ещё книга с картинками

Это пять!

Всем привет!

Подскажите, Докер при запуске контейнера создает изолированную сеть, и добавляет правила в Iptables. Как можно организовать клонирование траффика из одного контейнера на внешний интерфейцс?

в идеале - на IP адрес второй машины

клонирование? входящего или исходящего? а на втором хосте кто его будет принимать?

может все таки реальный кейс дадите, может вы чет путаете =_=

клонирование? входящего или исходящего? а на втором хосте кто его будет принимать?

на втором хосте там софтина специальная, для анализа траффика. В идеале хотя бы просто пока слать туда, чтобы было видно tcpdump. И входящего и исходящего

как представляется клонирование трафика, безответно?)

может все таки реальный кейс дадите, может вы чет путаете =_=

Задачи примерно такая - есть файловая хранилка с веб-мордой, крутится в докер-контейнере. И нужно анализировать траффик входящий/исходящий - т.е то, что заливают и скачивают с этой хранилки

как представляется клонирование трафика, безответно?)

да

tcpdump'ом и снимай трафик

tcpdump'ом и снимай трафик

т.е с IP контейнера снимать трафф, и потом засылать его на другой хост?

Задачи примерно такая - есть файловая хранилка с веб-мордой, крутится в докер-контейнере. И нужно анализировать траффик входящий/исходящий - т.е то, что заливают и скачивают с этой хранилки

ELK с packetbeat

ELK с packetbeat

Для анализа траффа софтина уже настроена, мне просто нужно лить данные на IP, либо вообще по L2 на мак-адрес

может тупо с хоста на котором контейнер вертится трафик снимать?)

Для анализа траффа софтина уже настроена, мне просто нужно лить данные на IP, либо вообще по L2 на мак-адрес

tcpdump блабла | netcat видимо тогда

wireshark фильтр ставите на хост машине и все:)

может тупо с хоста на котором контейнер вертится трафик снимать?)

проще с хоста все же думаешь, а не с определенного контейнера?

ну явно не пулять трафик куда то на левые узлы

wireshark фильтр ставите на хост машине и все:)

да это уже костыльно, хотелось бы как-то проще. Посмотрел ebtables (по маку), но что-то не понял, как им заклонировать

а можно заббикс поставить на хост в котором контейнер и элемент настроить на вход\выход на нужный интерфейс и все

на бриджу

да это уже костыльно, хотелось бы как-то проще. Посмотрел ebtables (по маку), но что-то не понял, как им заклонировать

можно посмотреть в сторону iptables mirror еще

а можно заббикс поставить на хост в котором контейнер и элемент настроить на вход\выход на нужный интерфейс и все

мне кажется ты не понял, что он хочет )

мне кажется ты не понял, что он хочет )

чет мутновата:)

Мне не мониторить трафф нужно, а именно дублировать на другую машину:)

ну значит посмотри в сторону iptables mirror

в любом случае это на оффтоп по сетям похоже

не уметь:С

в любом случае это на оффтоп по сетям похоже

сеть в любом ее виде не офтоп, т.к. это основа всего в наше время. Сеть везде обсуждают, в том числе и в схд

а, это:)

Да изначально я спросил, как с контейнера трафф наружу дублировать, ибо докер создает изолированную сеть

сеть в любом ее виде не офтоп, т.к. это основа всего в наше время. Сеть везде обсуждают, в том числе и в схд

только это докера мало касается

только это докера мало касается

ну.....пусть будет так

что-то не найти инфу. через d-c.yml можно заставить пересобираться образ каждый раз?

что-то не найти инфу. через d-c.yml можно заставить пересобираться образ каждый раз?

--build?

Да изначально я спросил, как с контейнера трафф наружу дублировать, ибо докер создает изолированную сеть

Зачем??

Зачем??

Для последующего анализа траффика службой безопасности

Для последующего анализа траффика службой безопасности

Эти вредители не умеют в докер?

может можно ту же тулзу на том же хосте запилить, зачем на другой то дублировать:)

Эти вредители не умеют в докер?

Их решение развернуто на отдельном хосте, мне дали только мак и IP, и попросили лить:)

может можно ту же тулзу на том же хосте запилить, зачем на другой то дублировать:)

Нет, не соглашаются:)

Их решение развернуто на отдельном хосте, мне дали только мак и IP, и попросили лить:)

Опиши схему целиком, допустим, это не докер

Опиши схему целиком, допустим, это не докер

Если не докер, то просто с исходного хоста весь входящий/исходящий трафф дублируем на хост безопасников

Так и дублируйте так же с интерфейса на котором докер висит

Думал об этом, но они просят в приоритете не на IP лить, а фреймы на mac засылать

ну просить они много че могут, пускай отрабатывают свою зп)

Это да, но т.к сервис мой, то дублирование это мне и организовывать:)

Если не докер, то просто с исходного хоста весь входящий/исходящий трафф дублируем на хост безопасников

Почему исходный хост не может быть докер хост?

Почему исходный хост не может быть докер хост?

Дак в теории да, можно, к примеру tcpdump -i veth6fe4543 |netcat

либо iptables -j TEE

Вообще немного офтоп, но это их проблема должна быть как трафик снимать. Что за бред 'ты нам шли, а мы проанализируем' - ты им и шли всё что захочешь, как они узнают, что это ненастоящий трафик? Примонтируй в контейнер котиков побольше и курлом им пости на мак, ip или куда там этим вредителям хочется анализы свои запускать

в любом случае это на оффтоп по сетям похоже

@friendly_zika

Всем привет. Скажите, кто нибудь пользовался докером для разработки на macos ? Какие есть проблемы, и сложности с этим? Подводные камни? Мне сказали, что на macos есть серьезные проблемы, но нагуглить я этого с ходу не смог. Буду рад любым высказываниям) Повторюсь, для разработки, не для продакшена ) Спасибо!