Anton
куда смотреть?
Anton
А есть кто IPVS использует? Вы как-нибудь разруливаете ARP-запросы на externalIP?
я использую, не сталкивался
Ilia
Поясните, пожалуйста, зачем нужен тиллер если я могу с помощью хельм отрендерить манифест и просто применить его?
Anton
Поясните, пожалуйста, зачем нужен тиллер если я могу с помощью хельм отрендерить манифест и просто применить его?
А у тебя он будет потом в списке установленых? по helm list?
Andor
- name: SECRET_USERNAME
valueFrom:
secretKeyRef:
key: username
name: mysecret
kubectl get po sec-test -o yaml
так ты делай get secret, а не get pod
Ilia
не уверен, я только знакомлюсь с ним
Anton
тролишь?
Andor
не
𝚔𝚟𝚊𝚙𝚜
я использую, не сталкивался
меня просто немного пугает такой момент:
arping -i eth0 10.36.255.254
ARPING 10.36.255.254
60 bytes from 90:1b:0e:53:b0:d2 (10.36.255.254): index=0 time=13.890 msec
60 bytes from 7a:dc:2e:3d:5b:34 (10.36.255.254): index=1 time=13.951 msec
...
60 bytes from 6e:50:10:7c:10:41 (10.36.255.254): index=45 time=22.769 msec
^C
--- 10.36.255.254 statistics ---
1 packets transmitted, 46 packets received, 0% unanswered (45 extra)
rtt min/avg/max/std-dev = 13.890/19.250/22.769/2.737 ms
𝚔𝚟𝚊𝚙𝚜
если у меня будет 200 нод, то я получу 200 arp-reply на один реквест
Anton
доступ к секретам запретить можно, а вот к деталям пода практически у всех будут
только что затестил - в деталях контента секретов не вижу, ну все равно заюзаю файлы, хотя выглядит как один хрен
Вадим
А кто-нибудь запускал kubernetes в selectel vpc?
Их готовым установщиком.
Anton
если у меня будет 200 нод, то я получу 200 arp-reply на один реквест
10.36.255.254 - Это соседний узел?
Stefan
а какая может быть причина, когда на сервисе аутентификация не работает, а на ингрессе всё ок?
вот мой сервис
apiVersion: extensions/v1beta1
kind: Service
apiVersion: v1
metadata:
name: myapp-service
annotations:
nginx.ingress.kubernetes.io/auth-type: basic
nginx.ingress.kubernetes.io/auth-secret: my-auth
nginx.ingress.kubernetes.io/auth-realm: "Authentication Required!!!"
spec:
selector:
app: myapp
ports:
- name: http
protocol: TCP
port: 80
targetPort: 8080
type: NodePort
Andor
а на сервисе может быть аутентификация?
Andor
точно?
Andor
а как её сделать?
Stefan
а как её сделать?
https://appscode.com/products/voyager/7.1.1/guides/ingress/security/basic-auth/
Andor
это про игресс
Vadim
только что затестил - в деталях контента секретов не вижу, ну все равно заюзаю файлы, хотя выглядит как один хрен
внутре пода все юзеры смогут прочитать env, но не все смогут прочитать файл (особенно с селинуксом)
Stefan
ты ссылку то открой..
Andor
> Voyager Ingress can be configured to use Basic Auth per Backend service by applying the annotations to kubernetes service.
Andor
эти аннотации используются ингрессом
Andor
то есть тебе не в сервис надо ходить, а всё равно в ингресс
Anton
внутре пода все юзеры смогут прочитать env, но не все смогут прочитать файл (особенно с селинуксом)
ну это параноя, если сделаю exec в контейнер - все смогут прочитать
Andor
или так и ходишь?
𝚔𝚟𝚊𝚙𝚜
10.36.255.254 - Это соседний узел?
10.36.255.254 - это externalIP для сервиса:
NAME TYPE CLUSTER-IP EXTERNAL-IP PORT(S) AGE
nginx-deployment ClusterIP 10.105.192.9 10.36.255.254 80/TCP 33mтакое поведение наблюдается если запускать arping из тойже подсети или с гейтвея, но не с ноды которая является частью кластера
Stefan
или так и ходишь?
я просто хотел сделать допустип для сервиса хоста в ингрессе авторизацию, а на другой хост чтоб оно не распространялось
Andor
ну kind: Service - это запись в iptables/ipvs и etcd, оно basic auth не предоставляет
Stefan
но видать оно так и не будет воркать
Andor
basic auth предоставляет нжинкс (ну или чо у тебя там) который настраивается ингрессом
Andor
а ходишь ты откуда и куда?
Stefan
а ходишь ты откуда и куда?
сори за не пастбин
apiVersion: extensions/v1beta1
kind: Ingress
metadata:
name: main-ingress
annotations:
# nginx.ingress.kubernetes.io/auth-type: basic
# nginx.ingress.kubernetes.io/auth-secret: my-auth
# nginx.ingress.kubernetes.io/auth-realm: "Authentication Required!!!"
spec:
rules:
- host: myapp.com
http:
paths:
- path: /
backend:
serviceName: myapp-service
servicePort: 80
- path: /hello
backend:
serviceName: testapp-service
servicePort: 80
- host: testapp.com
http:
paths:
- path: /
backend:
serviceName: testapp-service
servicePort: 80
- path: /welt
backend:
serviceName: myapp-service
servicePort: 80
Anton
10.36.255.254 - это externalIP для сервиса:
NAME TYPE CLUSTER-IP EXTERNAL-IP PORT(S) AGE
nginx-deployment ClusterIP 10.105.192.9 10.36.255.254 80/TCP 33mтакое поведение наблюдается если запускать arping из тойже подсети или с гейтвея, но не с ноды которая является частью кластера
у меня все узлы той подсети - часть кластера
𝚔𝚟𝚊𝚙𝚜
а гейтвей?
Stefan
а ходишь ты откуда и куда?
и вот я хочу сделать для myapp.com авторизацию, а для testapp.com не делать
Andor
сори за не пастбин
apiVersion: extensions/v1beta1
kind: Ingress
metadata:
name: main-ingress
annotations:
# nginx.ingress.kubernetes.io/auth-type: basic
# nginx.ingress.kubernetes.io/auth-secret: my-auth
# nginx.ingress.kubernetes.io/auth-realm: "Authentication Required!!!"
spec:
rules:
- host: myapp.com
http:
paths:
- path: /
backend:
serviceName: myapp-service
servicePort: 80
- path: /hello
backend:
serviceName: testapp-service
servicePort: 80
- host: testapp.com
http:
paths:
- path: /
backend:
serviceName: testapp-service
servicePort: 80
- path: /welt
backend:
serviceName: myapp-service
servicePort: 80
ну вот у тебя должно запрашивать если ходишь в testapp.com/welt и в myapp.com/
Andor
или оно и не пашет?
Stefan
а я хочу для одного из
Stefan
вот в чем дело)
Andor
то есть на какой-нибудь testapp.com/blabla тоже есть бейсик?
Anton
на 2 файлика
Andor
ну наверное самое простое - разделить на два ингресса
Andor
прикольно
Stefan
ну наверное самое простое - разделить на два ингресса
так вот советовали, но я думал может можно обойти это
Anton
как обойти - аннотации общие
Andor
а, наверное оно на rule прилипает
Stefan
почему нельзя блин к хостам применять(
Stefan
отдельно
Stefan
обидно
Andor
примени к хостам
Andor
но сделай по два rule на каждый хост
Rainbow
нет разницы. два ingress по одному роуту или один ингресс и два роута... только в первом случае можно анотации индивидуально писать.
Anton
apiVersion: extensions/v1beta1
kind: Ingress
metadata:
annotations:
...
---
apiVersion: extensions/v1beta1
kind: Ingress
metadata:
annotations:
annotations:
...
Anton
не благодари =)
Stefan
Mr.
для тех мусье, которые знают толк
Etki
знают цену себе
Stefan
@anti_on
просто бомба! спасибо еще раз