Andor

С днс всё ок?

Дмитрий Харитонов

если на айпишник подов днс ходить то всё в порядке, если на их сервис то те же проблемы

Дмитрий Харитонов

при этом трасероут на сервисы через этот gw ходить почему-то

Andor

В сервис по ip или по имени?

Andor

при этом трасероут на сервисы через этот gw ходить почему-то

Ну вот это и надо порешать

Дмитрий Харитонов

почему такое может быть?

Andor

Потому что сеть странно настроена

Дмитрий Харитонов

А это не нормальное поведение?

Дмитрий Харитонов

ну т.е. айпишники прописанные в сервисе же виртуальные, их нету в cni сетке, естественно что они перенаправляются в default gw

𝚔𝚟𝚊𝚙𝚜

это нормальное поведение, емнип traceroute icmp использует, т.к. сетка сервисов никуда не роутится он отправляет все пакеты на default gw

Дмитрий Харитонов

я так понимаю что обращения в айпишник сервиса уходит в gw но перехватываются записями в iptables и перенаправлются куда нужно

𝚔𝚟𝚊𝚙𝚜

правила iptables перенаправляют только конкретные порты определенного сервиса

Дмитрий Харитонов

правила iptables перенаправляют только конкретные порты определенного сервиса

traceroute умеет на порт ходить

Andor

по протоколу icmp?

Дмитрий Харитонов

он умеет udp и tcp

Дмитрий Харитонов

проверил и то и другое

Andor

прям любая версия traceroute это умеет?

Дмитрий Харитонов

хз, та которой я проверял умеет

Дмитрий Харитонов

он даже умеет парсить порт) если на 80 то он ставит tcp , если на 53 то udp)

Дмитрий Харитонов

если не задавать специально

Andor

ну это лично у тебя какой-то хитрый трейсраут

Stefan

подскажите, можно в ingress применить авторизацию к конкретному хосту? а не чтоб оно распространялось на все.. ingress.kubernetes.io/auth-type: basic ingress.kubernetes.io/auth-secret: my-auth например только для него, а второе приложение это не затрагивало spec: rules: - host: myapp.com http: paths: - path: / backend: serviceName: myapp-service servicePort: 80 - path: /hello backend: serviceName: testapp-service servicePort: 80

Дмитрий Харитонов

ну это лично у тебя какой-то хитрый трейсраут

В контексте моего вопроса это не важно

Andor

я не уверен, может и важно, хз как ведёт себя твой трейсраут

Дмитрий Харитонов

я не уверен, может и важно, хз как ведёт себя твой трейсраут

т.е. ты считаешь что его заявленная функциональность не работает?

Rainbow

подскажите, можно в ingress применить авторизацию к конкретному хосту? а не чтоб оно распространялось на все.. ingress.kubernetes.io/auth-type: basic ingress.kubernetes.io/auth-secret: my-auth например только для него, а второе приложение это не затрагивало spec: rules: - host: myapp.com http: paths: - path: / backend: serviceName: myapp-service servicePort: 80 - path: /hello backend: serviceName: testapp-service servicePort: 80

в annotations написать

Andor

т.е. ты считаешь что его заявленная функциональность не работает?

я не это сказал

k4k

подскажите, можно в ingress применить авторизацию к конкретному хосту? а не чтоб оно распространялось на все.. ingress.kubernetes.io/auth-type: basic ingress.kubernetes.io/auth-secret: my-auth например только для него, а второе приложение это не затрагивало spec: rules: - host: myapp.com http: paths: - path: / backend: serviceName: myapp-service servicePort: 80 - path: /hello backend: serviceName: testapp-service servicePort: 80

https://github.com/kubernetes/ingress-nginx/issues/1893

Rainbow

подскажите, можно в ingress применить авторизацию к конкретному хосту? а не чтоб оно распространялось на все.. ingress.kubernetes.io/auth-type: basic ingress.kubernetes.io/auth-secret: my-auth например только для него, а второе приложение это не затрагивало spec: rules: - host: myapp.com http: paths: - path: / backend: serviceName: myapp-service servicePort: 80 - path: /hello backend: serviceName: testapp-service servicePort: 80

annotations: nginx.ingress.kubernetes.io/auth-url: "http://auth.default.svc.cluster.local:3000/erp/auth"

Aleksey

ну это лично у тебя какой-то хитрый трейсраут

Вики говорит что он всё может и всё умеет, но дефолтный это конечно же udp 33434-33523

Andor

что?

Andor

гм, вы мне щас вселенную мою ломаете

Rainbow

подскажите, можно в ingress применить авторизацию к конкретному хосту? а не чтоб оно распространялось на все.. ingress.kubernetes.io/auth-type: basic ingress.kubernetes.io/auth-secret: my-auth например только для него, а второе приложение это не затрагивало spec: rules: - host: myapp.com http: paths: - path: / backend: serviceName: myapp-service servicePort: 80 - path: /hello backend: serviceName: testapp-service servicePort: 80

а, не так вопрос понял. на два ingress разделите с и без анотации

Andor

я всегда думал что там только icmp по-умолчанию

Stefan

annotations: nginx.ingress.kubernetes.io/auth-url: "http://auth.default.svc.cluster.local:3000/erp/auth"

это ведь в хосте? или в общем блоке annotations ингресса?

Aleksey

я всегда думал что там только icmp по-умолчанию

Неа :)

Rainbow

это ведь в хосте? или в общем блоке annotations ингресса?

вам нужно 2 ingress, с анотацией и без. они мержатся как.

Andor

вот уже прочитал ага

Aleksey

я всегда думал что там только icmp по-умолчанию

Сетевики любят на собесах тролить :)

Andor

ну меня сетевики не собеседуют

Дмитрий Харитонов

на 2-х кластера которые 1.11 такое поведение, на 1.8 не ходит в gw

Andor

и я тот ещё мамкин сетевик

Rainbow

и я тот ещё мамкин сетевик

#платиновые_треды или как там?

Andor

не дотягивает по эпичности

Rainbow

мамкин сетевик довольно эпично

Stefan

вам нужно 2 ingress, с анотацией и без. они мержатся как.

мне нужно просто применять авторизацию только там где она нужна))) как вот гибко это делается в nginx вирт. хостах думал можно это сделать на одном ингрессе и применять авторизацию к хостам

Дмитрий Харитонов

Хотя нет, ходит тоже, но dns сервис ходит напрямую

Дмитрий Харитонов

на старом kube-dns а на новом coredns

Rainbow

мне нужно просто применять авторизацию только там где она нужна))) как вот гибко это делается в nginx вирт. хостах думал можно это сделать на одном ингрессе и применять авторизацию к хостам

ingress это просто описание. они почти напрямую в location превращаются. Дела делает ingress controller на основе всех ingress описаний

Дмитрий Харитонов

Новая инфа, оказывается это происходит через раз. то уходит на gw то не уходит

Дмитрий Харитонов

когда на интефейсах gw нету нагрузки, то на него не уходит роут.

Дмитрий Харитонов

какие-то чудеса

Anton

Товарищи, идеологический вопрос, есть ssh ключ хранится в секрете, есть контейнер с прогой (которую я пишу) - могу научить её читать ключ из env переменной, могу из файла, какой вариант предпочтительнее с точки зрения безопастности, идеологии?

Andor

из волта :)

Anton

я хотел написать vault не предлогать =)

Anton

В будущем будет, но пока что рук мало, команда маленькая

Andor

нет предлагать

Andor

как тебе удобней так и делай

Дмитрий Харитонов

кароче разобрался, как всегда проблема в прокладке между стулом и столом)

Andor

рассказывай чо было

Anton

тут просто недавно был срачег насчет секретов env vs файлы

Andor

оба варианта говно :)

Sergey

env все равно в файле))

Andor

потому без разницы

Дмитрий Харитонов

рассказывай чо было

в kube-proxy демонсете прописана одна мастернода а не виртуальный айпишник прокси

Vadim

тут просто недавно был срачег насчет секретов env vs файлы

так обсуждали недавно - в env безопасность аж прёт

Anton

так обсуждали недавно - в env безопасность аж прёт

это то что можно просотреть в /proc ?

Anton

или еще аргументы?

Vadim

это то что можно просотреть в /proc ?

это самый простой вариант, да

Andor

и то и то - говно варианты, чо уж

Vadim

kubectl get -o yaml еще проще

Anton

kubectl get -o yaml еще проще

там секреты разве показывает?

Andor

а ты проверь

Mr.

нафиг тогда вообще секреты нужны?

Mr.

если все так плохо

Vadim

доступ к секретам запретить можно, а вот к деталям пода практически у всех будут

Andor

ну в деталях пода нет контента сикретов

Vadim

ааа, хмм, ну тогда проще. Я думал тут вариант "вообще никаких секретов"

𝚔𝚟𝚊𝚙𝚜

А есть кто IPVS использует? Вы как-нибудь разруливаете ARP-запросы на externalIP?

Anton

а ты проверь

- name: SECRET_USERNAME valueFrom: secretKeyRef: key: username name: mysecret kubectl get po sec-test -o yaml