или что то что будет поднимать реальный ip на физическом интерфейсе

Посмотри на MetalLB он не такой громоздкий как может показаться.

интеграцию с калико кстати починили уже?

там был тикет в калико

/ban

1k сообщений мы и сами нвбьем

Не совсем понимаю как в Kubernetes Dashboard авторизация через oauth2 работает.

oauth прокси сайдкаром будет связываться с oauth сервером и решать можно ли этому юзеру лезть или нет

А это он должен заголовок Authorization: Bearer <token> назначать?

10.36.255.254 - это externalIP для сервиса: NAME TYPE CLUSTER-IP EXTERNAL-IP PORT(S) AGE nginx-deployment ClusterIP 10.105.192.9 10.36.255.254 80/TCP 33mтакое поведение наблюдается если запускать arping из тойже подсети или с гейтвея, но не с ноды которая является частью кластера

проверь, на каких интерфейсах висит этот IP. По идее он должен быть либо на lo, либо на каком-нибудь dummy интерфейсе, а не на физическом

Просто пытаюсь использовать оператор от банзай клауда он пишет "unable to get key 'vault-unseal-0': error getting secret for key 'vault-unseal-0': secrets \"vault-unseal-keys\" is forbidden: User \"system:serviceaccount:default:default\" cannot get resource \"secrets\" in API group \"\" in the namespace \"default\""Э правда, что-то мне подсказывает, что у меня в кубере что-то недонастроено.

зачем оператор? Почему не через helm?

А это он должен заголовок Authorization: Bearer <token> назначать?

Ага, насколько я понял

Ребят. Что если у меня есть пул публичных ip-адресов и куча нод. На этих нодах запускаются короткоживущие поды, каждому из которых нужно выделять любой один свободный ip-адрес. Как лучше поступить и что использовать?

Никаких сервисов и ингрессов не используется

Тупо под с hostNetwork

Доброе утро. А не подскажете, какую сетевуху используете в куьере? Я попробовал пока calico и flannel, пока восторга мягко говоря нет...

Ребят. Что если у меня есть пул публичных ip-адресов и куча нод. На этих нодах запускаются короткоживущие поды, каждому из которых нужно выделять любой один свободный ip-адрес. Как лучше поступить и что использовать?

OSPF замути

*Кубере😂

а чем не устроили?

Доброе утро. А не подскажете, какую сетевуху используете в куьере? Я попробовал пока calico и flannel, пока восторга мягко говоря нет...

Kube-router попробуй

какие претензии в общем?

Ребят. Что если у меня есть пул публичных ip-адресов и куча нод. На этих нодах запускаются короткоживущие поды, каждому из которых нужно выделять любой один свободный ip-адрес. Как лучше поступить и что использовать?

metallb

какие претензии в общем?

В общем притензий нет, т.к. думаю, что у меня где-то что-то неправильно настроено скорее всего. Я разворачивал сетевую часть в подах, в итоге при проблемах получалась некая рекурсия: докер не работает из-за недоступности сети, сеть не работает из-за недоступности докера. М.б. мэйнстрим - это разворачивать сетевуху на нодах, а не в подах, как делаете?

В общем притензий нет, т.к. думаю, что у меня где-то что-то неправильно настроено скорее всего. Я разворачивал сетевую часть в подах, в итоге при проблемах получалась некая рекурсия: докер не работает из-за недоступности сети, сеть не работает из-за недоступности докера. М.б. мэйнстрим - это разворачивать сетевуху на нодах, а не в подах, как делаете?

причем тут калико и докер О.O

что то у тебя не так

чет как то совсем не понятно как связан докер и сеть

разницы особой как разворачивать нет стандартный путь это daemonset то бишь в подах

Калико он для внутренней сети кластера, больше никого в этой сети не должно быть

каким образом у тебя сеть аффектит докер, эт загадка великая есть.

он наверно смешал мух и кОтлет

смешал сетевую адресацию хостов и кластера

каким образом у тебя сеть аффектит докер, эт загадка великая есть.

Скорее докер афектит

ну мне прям любопытно, как такого можно добиться

смешал сетевую адресацию хостов и кластера

Ничего не мешал.

на уровне хостов сеть L2 или L3?

на уровне хостов сеть L2 или L3?

Л2

ок связность между узлами нормлаьная? трафик ходит?

причем тут калико и докер О.O

Вы разворачиваете калико не в подах?

калико с докером связанна весьма опосредованно докеру докерово - калико сеть

еще раз разницы как разворачивать по сути нет

Вы разворачиваете калико не в подах?

в подах, но на докер это не как не влияет

сеть через ds в любом случае идет в привилигерованных контейнерах тоесть это просто способ упаковки и деплоя

даже если удалить демон ссет с калико - докер и k8s будет работать

ок связность между узлами нормлаьная? трафик ходит?

Да, при штатной работе все хорошо, но если ребутятся хосты иногда калико не создает интерфейсы. Если при этом грохнуть етцд калико, то сеть восстанавливается...

только сеть у подов не будет

у калико свой etcd?

опередил )

но решение с грохнуть etcd мне нравится

нет базы, нет проблемы

Павел, подозреваю тебе нужно читать документацию, и разбираться как это все работает если ты не можешь корректно сформулировать проблему или вопрос, ответить тебе на этот вопрос врядли кто в состоянии.

Павел, подозреваю тебе нужно читать документацию, и разбираться как это все работает если ты не можешь корректно сформулировать проблему или вопрос, ответить тебе на этот вопрос врядли кто в состоянии.

Да я больше не про конкретную проблему, а про то, кто выбрал какое решение.

разделяй связность между хостами (нодами) это необходимо чтоб k8s работал и связность между подами за это как раз и отвечает calico и прочие она у тебя для того чтоб работало все внутри

metallb

Так он вроде для serivce с типом lb предназначен, не?

выбор сети определяется требованиями которые ты к ней выдвигаешь

Кстати, 10ms между тремя нодами кластера это плохо?

Так он вроде для serivce с типом lb предназначен, не?

Да, у ней есть пулы адресов - которые ты можешь назначить

у тебя просто сеть не работает

Да, у ней есть пулы адресов - которые ты можешь назначить

То что ты хочешь - натягивать IP из пула на поды минуя сервис, это лечение горла через жопу

сервисы это по сути правила (iptables/ipvs) по маршрутизации - может взять твой ip и привязать к поду

так или иначе тебе придется это делать вручную более геморойным способом

берешь metallb - заводишь пул с адресами, создаешь под и сервис для него с аннотацией - имя пула - и опа, внешний ip привязан к pod

выбор сети определяется требованиями которые ты к ней выдвигаешь

Тут скорее просто блиц-опрос, кто какое сетевое решение использует. Для наших задач в принципе и flannel достаточно, пока никаких разграничений между подами не нужно.

Тут скорее просто блиц-опрос, кто какое сетевое решение использует. Для наших задач в принципе и flannel достаточно, пока никаких разграничений между подами не нужно.

зависит от нужд, сейчас calico самое популярное решение

у меня kube-router и flannel

Просто самое хайповое решение имеет преимущество в части кол-ва кейсов

зависит от нужд, сейчас calico самое популярное решение

Ясно)

Добрый день, сотолкнулся с проблемой с журналированием логов и Fluentd. везде логи читают из фалов, у мня на сентоси они соответсвенно в журнале. по примерам накатал сорс <source> @id journald-docker @type systemd matches [{ "_SYSTEMD_UNIT": "docker.service" }] <storage> @type local persistent false path /var/log/journald-docker.pos </storage> read_from_head true tag docker </source> но возник вопрос как мне теперь отфильтровать толко нужный лог для заданных контенеров и отправитьотфильтрованое в еластик

у меня kube-router и flannel

Ясно, спасибо!

у меня kube-router и flannel

А это прод или пока песочница?

и то и другое это разные кластера

Господа, подскажите, разворачивали кластера kubespray и возник вопрос. Для ETCD kubespray генерит сертификаты и вроде как по дефолту на год. Все разворачивают etcd по https? Как реворкаете сертификаты?

есть dev есть prod

у меня несколько кластеров

ну и dev не в смысле тестовый кластер а в смысле под dev и тестинг просто требования по доступности ниже чем у прода

берешь metallb - заводишь пул с адресами, создаешь под и сервис для него с аннотацией - имя пула - и опа, внешний ip привязан к pod

У меня hostnetwork

У меня hostnetwork

Ручками тогда

Эх

А вообще я же могу создавать автоматом отдельный нетворк с этим ип

Из докера

Можно сделать так чтобы одним подам сам куб раздавал из одной подсети, а другим из другой?

Доброе утро. А не подскажете, какую сетевуху используете в куьере? Я попробовал пока calico и flannel, пока восторга мягко говоря нет...

Да поставил уже)