Victor
Я хотел задать вопрос - приземлённый и технический, но я не могу никак правильно его загуглить. Нужно решить достаточно простую проблему: есть удаленный сервис (А) за пределами кластера, нужно к нему обратиться из поды (Б) внутри кластера. Пода Б не имеет с себе доступа извне, к ней никто не обращается, она сама тихо делает какую-то работу. Проблема в том, что на удаленном сервисе А стоит фильтр по ip и меня разумеется не пускает, потому что никакого стабильно ip у моей поды Б нет. Как тут быть? Очень простая задача, но у меня затруднение
Vladimir
Надо идти на удаленный сервис и открывать доступ для всех, или почитать про Port knocking
Victor
Про port knocking почитаю, не слышал
Victor
А насчёт открыть доступ- там врятли согласятся
Victor
Там астерикс крутится, это дело такое
Aleksey
Я хотел задать вопрос - приземлённый и технический, но я не могу никак правильно его загуглить. Нужно решить достаточно простую проблему: есть удаленный сервис (А) за пределами кластера, нужно к нему обратиться из поды (Б) внутри кластера. Пода Б не имеет с себе доступа извне, к ней никто не обращается, она сама тихо делает какую-то работу. Проблема в том, что на удаленном сервисе А стоит фильтр по ip и меня разумеется не пускает, потому что никакого стабильно ip у моей поды Б нет. Как тут быть? Очень простая задача, но у меня затруднение
По сути под Б будет натироваться IP ноды на которой он находится, так что если это про локальную сеть, то надо разрешить IP нод на которых он может быть расположен.
Если же в инете астериск, то тогда вообще вопрос про то как натируется у вас трафик, ну и соответсвенно от этого плясать.
Victor
Asterisk отдельно в инете, да, к нему обычный tcp запрос. Я думал сделать у поды hostNetwork и вбить на Б в iptables адреса всех нод, это звучит более-менее здраво
Aleksey
Asterisk отдельно в инете, да, к нему обычный tcp запрос. Я думал сделать у поды hostNetwork и вбить на Б в iptables адреса всех нод, это звучит более-менее здраво
а зачем hostNetwork? я только что проверил, у меня Под нормально сходил в инет занатировавшись IP ноды
Victor
О, здорово. Надо будет попробовать, это самое простое решение наверное
Vadim
Я хотел задать вопрос - приземлённый и технический, но я не могу никак правильно его загуглить. Нужно решить достаточно простую проблему: есть удаленный сервис (А) за пределами кластера, нужно к нему обратиться из поды (Б) внутри кластера. Пода Б не имеет с себе доступа извне, к ней никто не обращается, она сама тихо делает какую-то работу. Проблема в том, что на удаленном сервисе А стоит фильтр по ip и меня разумеется не пускает, потому что никакого стабильно ip у моей поды Б нет. Как тут быть? Очень простая задача, но у меня затруднение
https://ritazh.com/whitelist-egress-traffic-from-kubernetes-8a3adefd94b2
Vadim
Там для ажура, но в целом нужно копать в сторону Egress IP
Vadim
https://medium.com/@mhausenblas/10-2018-cncf-meetup-on-applied-kubernetes-security-7293f3f9471f
Victor
Спасибо! Это что то вроде ingress наоборот, верно?
Vadim
Да. Например https://blog.openshift.com/accessing-external-services-using-egress-router/
Denis
Всем привет.Кто использует ingress traefik? Без нареканий работает?
Sergey
Всем привет.Кто использует ingress traefik? Без нареканий работает?
а ты по комментариям будешь оценивать подходит он тебе или нет?
Denis
а ты по комментариям будешь оценивать подходит он тебе или нет?
Это вообще к чему? Вопрос в том, есть ли заведомо известные проблемы. Надеюсь мы все помним известную старую поговорку
Denis
меня смущает что дока немного не актуальная на оф.сайте их
Vadim
Это вообще к чему? Вопрос в том, есть ли заведомо известные проблемы. Надеюсь мы все помним известную старую поговорку
там с безопасностью всё плохо - https://github.com/containous/traefik/issues/3651
Vadim
нормальный продукт я смотрю - месяц чинили такую CVE
+ https://github.com/containous/traefik/issues/3237
Andor
https://www.youtube.com/watch?v=fYy-FrjLX2s
Andor
вот тот самый доклад
Andor
https://www.youtube.com/playlist?list=PLrFmwYyxJyVO0aU5h0KAoBIPLo6kigADb вот плейлист
Никита
Andor
вчера вечером выложили, только сейчас в почте увидел
Andor
ну самый интересный доклад я кинул
Andor
большая часть не стоит времени
Andor
про волт ещё норм доклад
Andor
Ну да
Andor
От авито
Andor
Ну там никаких супер истин нет, но рассказано хорошо
Andor
Да в плейлисте глянь
Никита
Господи, доклад вообще прекрасный (8
Никита
Но вот странно, сеть же в кубернетесе не сказать, что сложно.
Никита
Надо статью написать на хабр, кажется)
Andor
ну при их кейсе у них типа 10 нод, нафиг им сложно-гибкое
Ivan
Stas
отличный доклад, я почти ни с чем не согласен, но доклад отличный
Никита
ну при их кейсе у них типа 10 нод, нафиг им сложно-гибкое
Ну вот они руками статические роуты прописывали на нодах, а для этого прекрасно bgp подходит.
Никита
Ну то есть там рили просто, из настроек - ip пира и as, и всё, маршрутная информация поехала.
Andor
Ну вот они руками статические роуты прописывали на нодах, а для этого прекрасно bgp подходит.
Когда у тебя относительно статично всё, бгп нафиг не нужен
Andor
И фланель тоже
Andor
Статик роуты один раз завести достаточно имхо
𝚔𝚟𝚊𝚙𝚜
если есть L2-связность можно и без роутов вполне жить
Etki
> кому за 30
Etki
Все шутейки объяснять приходится
bebebe
возможно имелось ввиду, кому за 30 iq наверное
Dmytro
https://medium.com/@mhausenblas/10-2018-cncf-meetup-on-applied-kubernetes-security-7293f3f9471f
На втором докладе часть людей встала и ушла) Там реально хардкорно было
Dmytro
Они всегда снимают видео и стримят
Dmytro
Даже если стрима не было то на ютубе уже должны были выложить
Vadim
Да, обещали запись, будет интересно
Dmitry
я на все посмотрел и решил что нафиг мне не нужен такой редис, в кубере пусть дохнет и перезапускается
а приложение же аффектится при этом ?
Валентин
Ну вот они руками статические роуты прописывали на нодах, а для этого прекрасно bgp подходит.
Не прописывали они руками, я тут в чате обсуждение доклада поднимал. Flannel им прописывал
Валентин
Ну то есть там рили просто, из настроек - ip пира и as, и всё, маршрутная информация поехала.
Зачем bgp в локальной сети на 10 машин? Из пушки по воробьям же
Andor
Не прописывали они руками, я тут в чате обсуждение доклада поднимал. Flannel им прописывал
Руками на внешних сервисах тоже прописывали
Dmytro
Насколько я помню доклад Авито ещё год или два назад - у них там сеть офиса с сетью датацентра связана и много специфики
Dmytro
Если не ошибаюсь сервисы из куба видны в офисной сети
Dmytro
И тд
Никита
Зачем bgp в локальной сети на 10 машин? Из пушки по воробьям же
Это вопрос в духе "зачем конфигурейшон менеджмент на десяти серверах". Олсо, да нет же там никакой пушки.
Валентин
Это вопрос в духе "зачем конфигурейшон менеджмент на десяти серверах". Олсо, да нет же там никакой пушки.
Это вопрос в духе "зачем ansible, когда сервер один, la на нем 0.1 и планов роста на ближайший год нет"
Etki
Да потому что просто по-человечески
Etki
(ну, за исключением того, что ансибл проклят и стоит взять что-то нормальное)
Etki
Etki
Я на самом деле хз как у вас, но меня неупорядоченность в работе просто убивает
Никита
Это вопрос в духе "зачем ansible, когда сервер один, la на нем 0.1 и планов роста на ближайший год нет"
Не надо только плес фантазий, речь про десять хостов, на которых надо поддерживать маршруты соответствующие. Это всё давным-давно делается с помощью динамической маршрутизации, которой все очень боятся пушо не понимают, как оно работает, хотя по факту боятся там совершенно нечего.
Andor
на десяти хостах можно и без динамической маршрутизации прекрасно жить
Andor
меньше сущностей