Mark ☢️
вот чем меня бесит хуёкер так это своими ебаными хардкоженными дефолтами
Mark ☢️
выбранными толи подоконниками, толи смузесосами
Sergey
Andrey
сейчас он скажет "уйди, старушка, я в печальке"
Andrey
вот чем меня бесит хуёкер так это своими ебаными хардкоженными дефолтами
Вот это норм претензия, но большинству лучше по-максимуму безопаснее.
Michael
Пока описывал проблему, понял, как её решить. Всем большое спасибо
Anonymous
Я бы задумался стоит ли elasticsearch держать в k8s
а что достигается, если его вынести за кластер? Упрощается архитектура и все?
Моя идея была иметь его в кластере для scalability, а данные хранить на persistent volume
Andrey
Блин, у меня вроде так же. Но не работает(
А как это можно вообще продебажить?
У меня из ingress-controller не резолвится vault-vault.namespace.svc.cluster.local
Хотя другие сервисы отрабатывают нормально
версия nginx ingress controller какая? как ставил?
cent
там вроде ничего особенного
apiVersion: extensions/v1beta1
kind: Ingress
metadata:
annotations:
certmanager.k8s.io/cluster-issuer: letsencrypt
kubernetes.io/ingress.class: nginx
creationTimestamp: 2018-10-31T12:26:15Z
generation: 1
labels:
app: vault
chart: vault-0.14.1
heritage: Tiller
release: vt
name: vt-vault
namespace: vault
spec:
rules:
- host: hashicorp-vault.xxxxxxxxxxxxxxx.com
http:
paths:
- backend:
serviceName: vt-vault
servicePort: 8200
path: /
tls:
- hosts:
- hashicorp-vault.xxxxxxxxxxxx.com
secretName: vault-tls
А в конфиге стораджа на ingress нужно вести или на локальный порт?
--set vault.config.storage.consul.path="vault/" \
--set vault.config.storage.consul.token="$(kubectl get secret/consul-master-token -o jsonpath={.data.token}|base64 -dw0)" \
--set vault.config.storage.consul.scheme="http" \
--set vault.config.storage.consul.check_timeout="5s" \
--set vault.config.storage.consul.redirect_addr="https://127.0.0.1:8200" \
--set vault.config.storage.consul.VAULT_ADDR="https://127.0.0.1:8200" \
Andrey
у меня гугловый бакет в качестве стораджа
Andrey
стоит смотреть логи контроллера, почему он 500-е отдаёт
cent
стоит смотреть логи контроллера, почему он 500-е отдаёт
Так у него же все гут. Он 503 только показывает и все
Кстати, начала появляться другая ошибка
2019/02/04 11:11:31 [error] 5338#5338: *6304514 upstream sent no valid HTTP/1.0 header while reading response header from upstream, client: 10.252.26.103, server:
cent
Может vault не умеет в http2 ?
listen 443 ssl http2;
cent
Есть подозрения, что сервис криво лег на под. А как можно продебажить сервис?
Mark ☢️
Вот это норм претензия, но большинству лучше по-максимуму безопаснее.
в чём безопасность noexec на tmpfs ?
Vadim
в чём безопасность noexec на tmpfs ?
Чтобы дырка в твоем приложении не смогла слить из интернета бинарь, положить в /tmp и запустить?
Vadim
Впрочем, пока не перешел дальше, запасись стульями - дальше будет seccomp и apparmor, а может даже selinux
cent
стоит смотреть логи контроллера, почему он 500-е отдаёт
https://www.vaultproject.io/api/system/health.html#503
пишут, что 503 - это sealed. Хотя у меня везде sealed: false
https://dpaste.de/FYE4
Andrey
стандартная штука tmp/noexec, тем более оправдана для докера. Хотя мозгов съела немало
Mark ☢️
Чтобы дырка в твоем приложении не смогла слить из интернета бинарь, положить в /tmp и запустить?
есть 1001 способ это сделать. и да, бай дефолт tmp исполнимый если туда ничего не примонтировать
Mark ☢️
ахаха
Mark ☢️
тоесть бай дефолт докер - небезопасный
Vadim
Breaking news
Mark ☢️
Впрочем, пока не перешел дальше, запасись стульями - дальше будет seccomp и apparmor, а может даже selinux
это мы уже проходили с центосом
Mark ☢️
Andrey
https://www.vaultproject.io/api/system/health.html#503
пишут, что 503 - это sealed. Хотя у меня везде sealed: false
https://dpaste.de/FYE4
там несколько вариантов, надо смотреть, как healthcheck'и в подах настроены
у меня вот так
readinessProbe:
failureThreshold: 3
httpGet:
path: /v1/sys/health?standbycode=204&uninitcode=204&
port: 8200
scheme: HTTP
Mark ☢️
просто какой-то пидор решил что так пижже
Mark ☢️
И СУКА НЕ СДЕЛАЛ ОПЦИИ ПО ОТКЛЮЧЕНИЮ
Mark ☢️
вот что бесит
Andrey
и чем же оправдана ?
стандартным usecase'ом для докеровских контейнеров - запускать конкрентный бинарник, и не неведомую хрень из /tmp
Andrey
исключения, конечно, могут быть, спору нет
Mark ☢️
стандартным usecase'ом для докеровских контейнеров - запускать конкрентный бинарник, и не неведомую хрень из /tmp
а почему тогда запуск (и запись) в /tmp разрешён если тмпфс не маунтить ?
Vadim
Бггг
Vadim
Действительно, загадка прямо
Andrey
а почему тогда запуск (и запись) в /tmp разрешён если тмпфс не маунтить ?
по историческим причинам, вестимо :)
Andrey
потому что /tmp пока не примаунчен определяется содержимым образа
Andrey
ну то есть в одном mount'е с / /bin и тд
Mark ☢️
ну а чо, сделали бы mount --bind /tmp /tmp -o noexec внутри контейнера
Mark ☢️
но нет блять
Andrey
это какой-то костыль уже
Ильдар
А весь докер это костыль костылей подпирающий костыли костылей
может в дизайнеры переквалифицироваться?
Andrey
знатно тебя бомбит от noexec. у меня такое же было :)
Mark ☢️
Vadim
Собирал бы в чруте, как диды
Andrey
А весь докер это костыль костылей подпирающий костыли костылей
Я вижу, что ты нашёл уже несколько ФАТАЛЬНЫХ недостатков. Пришло время переписать на Rust. Дерзай!
Mark ☢️
у них там чо, диски резиновые штоли
Mark ☢️
Я вижу, что ты нашёл уже несколько ФАТАЛЬНЫХ недостатков. Пришло время переписать на Rust. Дерзай!
не хочу отбирать славу у великих гошыстов
Toxa
Подскажите, как сделать так, чтобы при обращении curl из пода на определенной ноде, на принимающем сервере был не ip ноды, а ip игресса? Используем GKE
Mark ☢️
--tmpfs /tmp:exec но блять! https://docs.docker.com/storage/tmpfs/ вот тут безнихуя
Mark ☢️
Запилил ишью: https://github.com/docker/docker.github.io/issues/8138
Mark ☢️
Алексей
всем привет. имеем кластер с 1 мастером и 3 нодами, приватный докер регистри без сертификатов. это исключиетльно для тестов.
на нодах куба везде прописал адрес регистри в insecure-registries.
в результате ошибка:
Get http://IP:5000/v2/: net/http: HTTP/1.x transport connection broken: malformed HTTP response "\x15\x03\x01\x00\x02\x02"
Алексей
как я понимаю, куб лезет по хттп, а получает ответ по хттпс. почему?
Rainbow
как я понимаю, куб лезет по хттп, а получает ответ по хттпс. почему?
через letsencrypt проще получить. Чем везде вкорячить insecure
Алексей
у меня три ноды. на них прописать одну строку несложно
Алексей
все равно не в этом проблема. почему-то эта строка не воспринимается кубом
Toxa
Artem
добрый! Кто-нибудь использует graylog для сбора логов кубера?
Валентин
Dmitrii
добрый! Кто-нибудь использует graylog для сбора логов кубера?
А в чем вопрос? Beats input у него есть, натравливаешь на него filebeat и все.
Denis
всем привет. имеем кластер с 1 мастером и 3 нодами, приватный докер регистри без сертификатов. это исключиетльно для тестов.
на нодах куба везде прописал адрес регистри в insecure-registries.
в результате ошибка:
Get http://IP:5000/v2/: net/http: HTTP/1.x transport connection broken: malformed HTTP response "\x15\x03\x01\x00\x02\x02"
Конфиги докера тюнили для этого дела?
Andor
Andor
Почему-то подумалось про kubernetes на spot инстансах
Katerina
всем привет! +)
Mikhail [azalio]
Привет!
Andor
> Developer Advocate
Andor
https://memepedia.ru/wp-content/uploads/2017/05/%D0%B0%D0%B4%D0%B2%D0%BE%D0%BA%D0%B0%D1%82.jpg
Katerina
=)
Denis
Приветствую! Выбираю CNI для селф хостед версии кубернетеса. Выбор пал на kube-router. Я правильно понимаю, что принцип работы соедующий. Daenonset kube-router поднимается на каждом инстансе кластера. kube-router считывает pod cidr с узла на котором он запущен, начинает анонсировать маршрут к подам на этой ноде. Каждый экземпляр kube-router обмениваится друг с другом маршрутами и прописывают в локальную таблицу маршрутизации эти роуты.На этом работа заканчивается kube-router или есть еще какая-то магия от него? Kube-router в режиме network proxy and firewall
Andor
а kube-router разве cni?
Andor
ага, умеет быть
Max
Ребят, подскажите, как лучше всего примонтировать бакет в google cloud storage в поды в виде обычной папки? (не GKE)