А мне не нравится логика редиректы в ингресс пихать
сори, оговорился. Реврайты, не редиректы
Andrey
George
Andrey
А мне не нравится логика редиректы в ингресс пихать
А почему не нравится? Чем конкретно?
Я отталкиваюсь пока только от того что вся обвязка для приложения будет в условном одном месте.
Ну и в роли балансера может выступать любая балалайка умеющая ssl-offloading. А если вынести туда редиректы, то уже получается не так лаконично, чтоли
George
А почему не нравится? Чем конкретно?
Я отталкиваюсь пока только от того что вся обвязка для приложения будет в условном одном месте.
Ну и в роли балансера может выступать любая балалайка умеющая ssl-offloading. А если вынести туда редиректы, то уже получается не так лаконично, чтоли
Все равно у тебя лок на типе ингресса
George
В одном - один формат аннотаций. В другом - другой. А в шифте так вообще роуты, а не ингрессы
Andrey
ну ингресс это все же штука внутрикуберовая
George
А шифт - не куб, по твоему?
Konstantin
тот еще куб, который совсем нельзя покрутить
Konstantin
Ну вот приходит безопасник, начитавшийся про docker hardening
Konstantin
лезет в шифт, а там —allow-privileged=true на нодах
Vadim
бгг
Konstantin
или скажем —anonymous-auth=true
Konstantin
и после этого мало-мальский ПСИ становится адом и Израилем
Vadim
или скажем —anonymous-auth=true
а безопасник способен в себя вместить только одну доку? Или в него можно загрузить мануалы по PSP или SCC?
Konstantin
ямлы PSP потом в ТОИСе все выписывать?
Vadim
и NetworkPolicy тоже
Konstantin
Хотя убедить тем, что PSP закроет все видимые и невидимые «проблемы» довольно просто
Andrey
Общий ответ - да
А как, чот понять не могу. В доке говорится о том что настраивается это через аннотацию. А она одна на весь ингресс.
George
А как, чот понять не могу. В доке говорится о том что настраивается это через аннотацию. А она одна на весь ингресс.
У тебя аннотация в твоих подах должна быть
George
А не в ингрессе
Rainbow
А как, чот понять не могу. В доке говорится о том что настраивается это через аннотацию. А она одна на весь ингресс.
в чем проблема сделать несколько ingres? Их оставить в одном файле и нормально
George
Ингресс должен ходить по кубу и смотреть что происходит
George
в чем проблема сделать несколько ingres? Их оставить в одном файле и нормально
А как шарить их ? Хорошо, если у тебя полноценный облачный lb впереди
George
А если баре метал ?
Andrey
в чем проблема сделать несколько ingres? Их оставить в одном файле и нормально
та не проблема. Я скорее просто спрашиваю чтобы не плодить если можно сделать в одном.
Rainbow
я не про ingress контроллер
Rainbow
та не проблема. Я скорее просто спрашиваю чтобы не плодить если можно сделать в одном.
плоди. Это аналог location в nginx. Делай сколько нужно
Rainbow
не пытайся вывести одним location
Daniil 👉👈
Товарищи, подскажите ответом, достался мне в "наследство" k8s кластер и ingress контроллеры у него работают в NodePort а снаружи куба сидят 2 haproxy которые балансируют трафик, не очень мне нравится такая конфигурация, какой сейчас вариант балансировки самый нормальный ? воркеры автоскейлятся так что вариант с A записями в DNS не хотелось бы использовать....
Daniil 👉👈
AWS
George
В aws есть свой elb
George
Выкинь haproxy. И будет щастье
George
Ну, вся балансировка приводит так или иначе к плавающему ip
Daniil 👉👈
сейчас haproxy реагируют на изменение кол-ва нод куба засчет скрипта на пайтоне который каждые несколько минут опрашивает мастера куба на воркеры в кластере, elb умеет что-то подобное или это можно реализовать силами k8s ?
George
"отказоустойчивость" через днс говно. Это про балансировку именно. Хотя если ты можешь править записи быстро и с маленьким ттл, то может пойти
George
Daniil 👉👈
тогда попробую, спасибо !
Artem
Почему они сразу на elb не сделали?
George
Касательно интеграции куба и Амазона... Кхм... https://github.com/kubernetes/cloud-provider-aws
Artem
А код писали, в апишку ходили... Не зря они так решили
George
Это основная причина говнарить на хапрокси
Daniil 👉👈
видимо прошлый разработчик лучше знал как с haproxy работать )
George
Вторая - елб денег стоит. Ec2 дешевле в общем случае
Artem
видимо прошлый разработчик лучше знал как с haproxy работать )
Та не... Чуваки два хапрокси насетапили заморачивались... Если бы стояла задача решили бы на elb, так дороже но быстрее.
George
Та не... Чуваки два хапрокси насетапили заморачивались... Если бы стояла задача решили бы на elb, так дороже но быстрее.
Haproxy так себе решение на самом деле
George
Был бы floating ip - ok
George
Но отказоустойчивость на днс.... На дублирующихся а записях ... Такое себе
Artem
Кароч я к тому, что фиг его знает почему они решили именно так сделать. Это не тривиальный подход.
Artem
Но отказоустойчивость на днс.... На дублирующихся а записях ... Такое себе
+1 но в роут53 можно кажется чекать хосты
Artem
Или я могу ошибаться
George
Может у парней клаудфлейр
Artem
Согласен
kbks
доброй ночи
Daniil 👉👈
эм, нет, просто в DNS 2 А записи с IP этих 2 haproxy и все, как я понял такая поделка с 2014-го года держится и ниразу не упала )
Yaroslav
kbks
господа, а что я делаю не так? https://pastebin.com/raw/fgcBFeMT
George
эм, нет, просто в DNS 2 А записи с IP этих 2 haproxy и все, как я понял такая поделка с 2014-го года держится и ниразу не упала )
Ну, ты же понимаешь, что это говно ?
Daniil 👉👈
ну да )
Artem
Ну, ты же понимаешь, что это говно ?
Говно живёт 5 лет. 5 Карл... И не воняет...))) Вы точно хотите его трогать?
Daniil 👉👈
да (
George
Говно живёт 5 лет. 5 Карл... И не воняет...))) Вы точно хотите его трогать?
До первого серьезного сбоя
George
Просто везёт, что Амазон не падает
Artem
5 лет везёт, если день не повезет не страшно же.
Daniil 👉👈
как я понимаю elb лучший вариант для кубов в aws ? keepalived между балансировщиками уже не котируется в мире ?
Sergey
Anonymous
а тут кто-нить оказывает платные консультации? а то я уже щас компьютер в окно выкину с этим rbac
Anonymous
вообще хз как это фиксить