ну попробуй подними в докере локальный куб сделай сервис на udp

чет типа --- apiVersion: v1 kind: Service metadata: name: bootstrap-udp namespace: dev labels: app: bootstrap spec: ports: - port: 7900 name: dht protocol: UDP type: LoadBalancer selector: app: bootstrap

https://github.com/muesli/pam-beacon

попробую

попробую

Careful though, the mere presence of this bluetooth device will make anyone able to unlock your system, of course. надо пилить другой модуль, чтобы оно могло по протоколу с приложением на часах говорить и разлочивать

но для 2FA подойдет

У меня fs даже не шифрована) Просто чекать по id часов можно. Терморектальный криптоанализатор в любом случае сложно обойти

http://lurkmore.so/images/8/8c/Security.png

Оффтопик закончен. Я на последок. Любители mysql пользуются из cli? А то это такая боль, что руки опускаются.

чет типа --- apiVersion: v1 kind: Service metadata: name: bootstrap-udp namespace: dev labels: app: bootstrap spec: ports: - port: 7900 name: dht protocol: UDP type: LoadBalancer selector: app: bootstrap

Там есть момент что если ты хочешь как externalIP его вывесить то нужно загрузить модуль contrack для твоего типа трафика, у меня с tftp так и не завелось :(

У меня lvs

У меня lvs

тогда вообще не факт что заведется

Заводится

а что за трафик у тебя?

Кастомный

посоны, как принести UDP в кубу?

Свои протоколы по udp бегают

А с чето ты взял что с lvs udp не заведется?

видимо у tftp свои особенности

Я еще до куба так dns балансировал

Только чек на tcp вешал

а ты про внешний трафик говоришь или про трафик внутри кластера?

потому что внутри кластера у меня тоже все работало

а вот для внешнего трафика включается nat и tftp сразу идет лесом

/me принимает udp через nginx-ingress

Но таки да, это через Ж.

Ну так с lvs нат то зачем?

Внешний

а как у тебя трафик в кластер попадет?

У меня ехтернал ip На нем lvs роутер Он кидает внутрь

kube-proxy по умолчанию включает snat для externalip

Доберусь до компа посмотрю iptables Но навскидку не припомню что он мне правила делал для ехтернал ip

у тебя же kube-router, может он так не делает?

У меня не только kube-router

Есть разные

Сети

Только все с lvs

https://github.com/kubernetes/kubernetes/blob/f39060c6047b8dce5af197a97d5f18422d93c9d1/pkg/proxy/ipvs/proxier.go#L891

Всем привет, подскажите по следующей проблеме: хотел добавить воркер ноду через kubeadm, но ошибся консолью и установил kubeadm на работающем мастере, в итоге мастер NotReady, The connection to the server 192.168.10.11:6443 was refused. В доке прочитал, что kubelet после установки kubeadm падает и ждет команд от kubeadm. Как поднять мастер?

Всем привет, подскажите по следующей проблеме: хотел добавить воркер ноду через kubeadm, но ошибся консолью и установил kubeadm на работающем мастере, в итоге мастер NotReady, The connection to the server 192.168.10.11:6443 was refused. В доке прочитал, что kubelet после установки kubeadm падает и ждет команд от kubeadm. Как поднять мастер?

а мастер с etcd?

или это вообще single master?

single master of failure

Да, контейнер поднят с etcd. Мастеров 5

а чем мастера деплоил?

Да, контейнер поднят с etcd. Мастеров 5

5 мастеров?? Тут про два говорили не очень .. зачем их столько?

сделать kubeadm reset и передеплоить мастер

Весь кластер kubesparay’ем поднимался

Весь кластер kubesparay’ем поднимался

Так вы бы им все и добавляли, зачем руками то?

Весь кластер kubesparay’ем поднимался

он тоже reset может вроде как

Собриаю кластер с нуля, и напоролся на пересечение сетей. Network 10.32.0.0/12 overlaps with existing route 10.35.12.0/24 on host Как сменить 10.32.0.0/12 на другую?

При этом в kubeadm конфиге сетка другая kubeadm config view apiServerExtraArgs: authorization-mode: Node,RBAC apiVersion: kubeadm.k8s.io/v1alpha3 auditPolicy: logDir: /var/log/kubernetes/audit logMaxAge: 2 path: "" certificatesDir: /etc/kubernetes/pki clusterName: kubernetes controlPlaneEndpoint: "" etcd: local: dataDir: /var/lib/etcd image: "" imageRepository: k8s.gcr.io kind: ClusterConfiguration kubernetesVersion: v1.12.2 networking: dnsDomain: cluster.local podSubnet: "" serviceSubnet: 10.96.0.0/12 unifiedControlPlaneImage: ""

Собриаю кластер с нуля, и напоролся на пересечение сетей. Network 10.32.0.0/12 overlaps with existing route 10.35.12.0/24 on host Как сменить 10.32.0.0/12 на другую?

PodSubnet указать мб?

PodSubnet указать мб?

а где это указать ?

Ну строчка перед ServiceSubnet.

podSubnet: ""

Yep

спасибо, попробую сейчас

А вообще, зачем /12, неужто реально такой большой кластер?

сразу ipv6

к чему эти полумеры

О да))

А вообще, зачем /12, неужто реально такой большой кластер?

это дефолт, а какой - то минимум есть ?

и вот для этого serviceSubnet какая сеть нужна ?

пересоздал кластер из конфига, в котором указал подСабнет, а weave в него упорно не смотрит и хочет 10.32.0.0/12

в поде root@pulsar-0:~# nc -lu -p 9999 This is my data снаружи из другово датацентра по external ip echo "This is my data" > /dev/udp/myiphere/9999 сеть flannel c lvs

@kvaps

Ну он у тебя обратно не шлет никакие данные же

там же source ip подменяется

подскажите, каким образом можно дать pod'y hostname вида abc.def.\com , при этом чтобы его видели другие pod's этого namespace? куда смотреть?

а для tftp это проблема, т.к. сервер начинает слать ответные udp-пакты обратно на ноду с externalIP, а не напрямую на клиента

поэтому на ноде с externalIP нужно, что-то типа nf_conntrack_tftp чтобы обрабатывать такие ответы

а ты не пробовал на tftp выставить чтоб он отправлял тоже с 69 порта а не с рандомного?

а ты не пробовал на tftp выставить чтоб он отправлял тоже с 69 порта а не с рандомного?

хорошая идея, не пробовал

отпишешь получилось или нет

конечно

отпишешь получилось или нет

ну в общем это нарушает логику работы tftp и он вообще отказывается работать, см: Transaction ID https://books.google.cz/books?id=isybabuADPkC&pg=PA610&lpg=PA610&dq=tftp+%22Transaction+ID%22&source=bl&ots=XdEYF35dtR&sig=tZDykIxa_keHIigY3x5N2U-DHQs&hl=ru&sa=X&ved=2ahUKEwi9rbmdlOjeAhUHJMAKHWdBDwIQ6AEwAnoECAcQAQ#v=onepage&q=tftp%20%22Transaction%20ID%22&f=false

Да и полагаю если получится, то вряд-ли он больше одного соединения за раз сможет обрабатывать

это дефолт, а какой - то минимум есть ?

А, ну дык это надо weave конфигурить. IPALLOC_RANGE - the range of IP addresses used by Weave Net and the subnet they are placed in (CIDR format; default 10.32.0.0/12 По дефолту у тебя в /12 сети миллион хостов будет. Хотя если требований каких-то к ipam нет, то можно и /12)

А, ну дык это надо weave конфигурить. IPALLOC_RANGE - the range of IP addresses used by Weave Net and the subnet they are placed in (CIDR format; default 10.32.0.0/12 По дефолту у тебя в /12 сети миллион хостов будет. Хотя если требований каких-то к ipam нет, то можно и /12)

да уже разобрался и кластер поднялся, спасибо

А, ну отлично тогда)

Привет. Хочу настроить для пода seccomp с определёнными правами через аннотацию localhost/<path> в psp, но не совсем понимаю, где должен лежать файл - Specify a profile as a file on the node located at <seccomp_root>/<path>, where <seccomp_root> is defined via the --seccomp-profile-root flag on the Kubelet. Кто-нибудь может пояснить?