но ты конечно можешь считать себя самым умным и у тебя ничего не ломается

У него наверное как у vault есть enterprise версия? Фунционала бесплатной Вам хватает?

С головой, там в enterprise больше поддержка, фичей не так много, обычно они для мега кластеров

Понял, спасибо 👍🏽

Они не перестанут видеть друг-друга без особых на то причин.

это кстати не ответ на вопрос ;) Ты не думал или забил на ситуацию: "может оказаться несколько VIP в сети" ?

Всём привет! Подскажите можно ли использую metallb пробросить трафик на приложение на ip/api а не просто ip?

Всём привет! Подскажите можно ли использую metallb пробросить трафик на приложение на ip/api а не просто ip?

Metallb не знает про http

ребят какие там альтернативы можно использвать вместо helm ?на что советуете глянуть?

ksonnet

это кстати не ответ на вопрос ;) Ты не думал или забил на ситуацию: "может оказаться несколько VIP в сети" ?

А ты так и не ответил, что делать если на клиенте резолвер закешировал днс запись

На моём опыте развалившийся л2 случается реже, чем какой-нибудь dnsmasq на клиенте

И если у тебя развалился л2, то два vip это меньшая из проблем

И если у тебя развалился л2, то два vip это меньшая из проблем

я, кстати, соглашусь, что обычно имеется существенно бОльшая проблема

Но ты конечно можешь утверждать обратное

И что кипэлайвд не делает свою работу, и что днс рр классный и решает все проблемы

А ты так и не ответил, что делать если на клиенте резолвер закешировал днс запись

задавал бы вопрос нормально - можно было бы пообщаться. Мне лично нафиг не надо что-то доказывать. Тем более отвечать на фантазии, которые я не озвучивал

Как скажешь.

Ты абсолютно прав.

Я тут пару часов назад про него рассказывал. Последние пару месяцев плотно на нем сижу, много проблем решает. Без haproxy, cni, виртуальных сетей между дц и тп

Какие, например, проблемы решает? Я его не курю, но может мне тоже надо

это кстати не ответ на вопрос ;) Ты не думал или забил на ситуацию: "может оказаться несколько VIP в сети" ?

Ну давай представим, даже если что-то случится и vrrp сломается так, что у тебя будет два IP на разных тачках - это ничего не меняет, т.к. когда клиент отправит arp-запрос, он получит два arp-ответа, что он в этом случае сделает? - правильно, будет использовать mac-адрес из первого ответа, а дальше уже все haproxy разрулит

И что кипэлайвд не делает свою работу, и что днс рр классный и решает все проблемы

Он херово её делает. RR при правильной настройке поинтов вполне годен\

И опять же - ты совершенно правильно сказал, что у тебя часть сервисов просто простаивают и греют воздух

В конфигурации с keepalived

о господи

Не обязательно

замес заради кипелайва

Он херово её делает. RR при правильной настройке поинтов вполне годен\

Нормально он её делает

замес заради кипелайва

Я просто не понимаю, почему его так любят? И пейсмекер - вот это всё...

На моём опыте развалившийся л2 случается реже, чем какой-нибудь dnsmasq на клиенте

да здравствует systemd-resolved!

Я просто не понимаю, почему его так любят? И пейсмекер - вот это всё...

есть претензии к пейсмейкеру?

Я просто не понимаю, почему его так любят? И пейсмекер - вот это всё...

Потому что он простой и работает

Потому что он простой и работает

Как говно он работает - опять же. Но работает

Как говно он работает - опять же. Но работает

Какие претензии-то?

Он работает так как умеет вррп

Я вообще стал ярым противником всех этих костылей на хостах - эту работу лучше переложить на сетевое оборудование

опять девопсы дерутся

Я просто не понимаю, почему его так любят? И пейсмекер - вот это всё...

с пейсмейкером можно вообще кластерный айпишник замутить, один на три ноды, в master-master

Ну давай представим, даже если что-то случится и vrrp сломается так, что у тебя будет два IP на разных тачках - это ничего не меняет, т.к. когда клиент отправит arp-запрос, он получит два arp-ответа, что он в этом случае сделает? - правильно, будет использовать mac-адрес из первого ответа, а дальше уже все haproxy разрулит

ты получишь ситуацию, когда понятия не имеешь как ходит у тебя траффик, поскольку разные клиенты отправляют запросы к разным keepalived-инстансам

с пейсмейкером можно вообще кластерный айпишник замутить, один на три ноды, в master-master

А трамваем можно гладить бельё, но зачем? )

Я вообще стал ярым противником всех этих костылей на хостах - эту работу лучше переложить на сетевое оборудование

Как я уже рассказывал, у нас keepalived в последней итерации остались только для хелсчеков и навешивания адресов на dummy

ты получишь ситуацию, когда понятия не имеешь как ходит у тебя траффик, поскольку разные клиенты отправляют запросы к разным keepalived-инстансам

Вот, у меня тоже маршрутизация шла по пизде пока они договаривались, кто из них король

А дальше уже этот адрес анонсился и работал ecmp

ты получишь ситуацию, когда понятия не имеешь как ходит у тебя траффик, поскольку разные клиенты отправляют запросы к разным keepalived-инстансам

но ведь будет работать же, есть IP при обращении на который ты гарантированно получаешь API кубера, что не так то?

Вот, у меня тоже маршрутизация шла по пизде пока они договаривались, кто из них король

угу.. grat arp вот это все

Вот, у меня тоже маршрутизация шла по пизде пока они договаривались, кто из них король

Работа VRRP зависит от сети, со всякими антиспуфинг протекшен и хитрыми свитчами он не заработает. Но если VRRP заработал в вашей сети - он не сломается.

Работа VRRP зависит от сети, со всякими антиспуфинг протекшен и хитрыми свитчами он не заработает. Но если VRRP заработал в вашей сети - он не сломается.

Там же вроде можно было какие-то проверки сделать выше уровнем

Там же вроде можно было какие-то проверки сделать выше уровнем

ну и да можно настроить хелсчеки, но на мой взгляд я не вижу в этом особого смысла, т.к. уже объяснил даже если будет конфликт IP-адреса, ничего страшного не произойдет, т.к. под кипалайвом работает всегда одинаковый haproxy

но обычно бывает наоборот, когда антиспуф наглухо зарезает кластерный айпишник

Работа VRRP зависит от сети, со всякими антиспуфинг протекшен и хитрыми свитчами он не заработает. Но если VRRP заработал в вашей сети - он не сломается.

Я только хочу сказать, сколько людей - столько мнений. И хорошо, что есть возможность пробовать разные решения. К сожалению, некоторые иногда разочаровывают. Но это не значит что их надо роскомнадзорить

но ведь будет работать же, есть IP при обращении на который ты гарантированно получаешь API кубера, что не так то?

:) а что произойдет, когда после этого события выключится один из серваков keeplived на который ходила часть запросов ?

ну и да можно настроить хелсчеки, но на мой взгляд я не вижу в этом особого смысла, т.к. уже объяснил даже если будет конфликт IP-адреса, ничего страшного не произойдет, т.к. под кипалайвом работает всегда одинаковый haproxy

Проблема в другом. Где кейс, когда хапрокси кря, а кипелайв - нет ?

Сломаться может все и в любой момент

:) а что произойдет, когда после этого события выключится один из серваков keeplived на который ходила часть запросов ?

будет новый arp-request/arp-reply

будет новый arp-request/arp-reply

При поддержке со стороны сети...

будет новый arp-request/arp-reply

и по какому событию он произойдет ? :)

Проблема в другом. Где кейс, когда хапрокси кря, а кипелайв - нет ?

для этого надо уметь настраивать keepalived

вообще когда keepalived меняет айпишник он отсылает пакет, чтоюы все клиенты обновили mac-адрес

вообще когда keepalived меняет айпишник он отсылает пакет, чтоюы все клиенты обновили mac-адрес

ты потерял мысль ;)

Проблема в другом. Где кейс, когда хапрокси кря, а кипелайв - нет ?

такой вариант возможен, но маловероятен где haproxy выполняет одну единственную функцию, когда поставил и забыл

для этого надо уметь настраивать keepalived

Я про это и говорю

ты потерял мысль ;)

да я понял о чем ты, в любом случае не есть хорошо когда у тебя конфликт IP-адресов, но как правило этот момент достаточно быстро разруливается со следующим who-has

Я про это и говорю

главное что это можно настроить

да я понял о чем ты, в любом случае не есть хорошо когда у тебя конфликт IP-адресов, но как правило этот момент достаточно быстро разруливается со следующим who-has

да понятно. Но стоит ли игра свеч :) мне на своих клиентов(прогеров) пох. Какие у тебя клиенты - я хз

да понятно. Но стоит ли игра свеч :) мне на своих клиентов(прогеров) пох. Какие у тебя клиенты - я хз

у меня все kubelet'ы через keepalived+haproxy подключены, например

с фенсингом, ха-ха

у меня все kubelet'ы через keepalived+haproxy подключены, например

Молодец, возьми с полки пирожок

с фенсингом, ха-ха

О, вот, ещё важная деталь, внезапно

Молодец, возьми с полки пирожок

не, я к тому, что если keepalived внезапно сломается и кубелеты не смогут обновить свое состояние, фенсинг прибьет все мои ноды. На практике такой ситуации у меня пока не возникало.

Я тут пару часов назад про него рассказывал. Последние пару месяцев плотно на нем сижу, много проблем решает. Без haproxy, cni, виртуальных сетей между дц и тп

Это ты про что?

инженерам ещё стоит качать навык "уметь продать решение", а не плакать, что их не слушают

я тут вспомнил, кстати, охуительную историю про продавать! Я работал в дочке госконторы, которая ничего не зарабатывала, зато в сентябре закрыли один из её проектов, и менеджмент стал резво ебать мозги моему начальнику требованием "как можно скорее разобрать инфраструктуру и куда-нибудь продать до конца года!" И знаешь зачем? Чтобы записать эти бабки в прибыль, показать её и получить за это премии! И лол - мы не могли ничего разобрать, потому что по закону мы обязаны были хранить данные с массивов ещё 5 лет, а никаких внешних средств хранения, типа ленточек, у нас на тот момент не было.

не, я к тому, что если keepalived внезапно сломается и кубелеты не смогут обновить свое состояние, фенсинг прибьет все мои ноды. На практике такой ситуации у меня пока не возникало.

а чем хуже решение как в кубспрее ? локальный прокси на каждом узле никаких приседаний с кипаливед, никаких спец. требований к сетевой инфраструктуре...

а чем хуже решение как в кубспрее ? локальный прокси на каждом узле никаких приседаний с кипаливед, никаких спец. требований к сетевой инфраструктуре...

Клиенты эти адреса откуда узнают? Из rr dns?

а чем хуже решение как в кубспрее ? локальный прокси на каждом узле никаких приседаний с кипаливед, никаких спец. требований к сетевой инфраструктуре...

а разве кто-то говорил что оно хуже?

Клиенты эти адреса откуда узнают? Из rr dns?

какие клиенты ??? кублеты и куб-прокси на узлах ? - захардкожено в конфиг локального прокси. внешних клиентов пускать к API можно через ingress и использововать тот же механизм, что и для обычного трафика. что там будет зависит уже от хостера. внешний балансировщик, keepalived, FIP как в хетцнер и тп...

какие клиенты ??? кублеты и куб-прокси на узлах ? - захардкожено в конфиг локального прокси. внешних клиентов пускать к API можно через ingress и использововать тот же механизм, что и для обычного трафика. что там будет зависит уже от хостера. внешний балансировщик, keepalived, FIP как в хетцнер и тп...

Внешние клиенты конечно. На бареметал

Внешние клиенты конечно. На бареметал

ну нарисовать ingress и пускать внешних клиентов к API через ingress-controller зачем вам две сущности для отказоустойчивой балансировки то ?

ингресс для API?

Это будет работать вообще?

конечно. там же https обычный

Теоретически должно, но я не очень уверен, зачем

Проблема курицы и яйца