уже подзно ;)
у нас тут кипишь был, что доступ в сервисы был, только если поды на одной ноде.
и меня паша убедил, что ipvs пока рано.
поэтому вернул дефолт на iptables ;)
Правда в итоге оказалось что в iptables последним правилом было input drop ;) не заметили сразу.
в итоге ipvs не причем был.
Lucky SB
Petrukhin
у нас тут кипишь был, что доступ в сервисы был, только если поды на одной ноде.
и меня паша убедил, что ipvs пока рано.
поэтому вернул дефолт на iptables ;)
Правда в итоге оказалось что в iptables последним правилом было input drop ;) не заметили сразу.
в итоге ipvs не причем был.
"не спешите ты нас хоронить"(с).
Lucky SB
ну да. пациент лежит, вокзал отъезжает... бегом бегом
Petrukhin
Ну так вот я о чем, что вроде все норм, но изредкаа пропадают сессии. как это детектить - мне не ведомо. tcpdump уже не прокатит
Alex
https://github.com/docker/compose-on-kubernetes
хм, а эту штуку кто-нибудь смотрел?
Oleg
Ребят, есть у кого-нибудь сетап бареметал + flannel 0.11?
Не получается заставить работать Pod to Service / Service to Pod на flannel 0.11.
В логах iptables вижу, что прилетает ACK RST на каждую попытку соединениея. Все policy в ACCEPT.
В conntrack сплошные пары UNREPLIED NEW / DESTROY.
Kube 14.1 лил через кубспрей.
Помогает подняться flush nat таблицы, но всегда же жить так не будешь?
Oleg
Ещё - используем IPVS, и при Pod to Pod такая же ерунда.
Solyar
Зачем подам общаться между собой?
Oleg
Например, так работает логика хелсчеков. И это в целом не важно.
Lucky SB
Ребят, есть у кого-нибудь сетап бареметал + flannel 0.11?
Не получается заставить работать Pod to Service / Service to Pod на flannel 0.11.
В логах iptables вижу, что прилетает ACK RST на каждую попытку соединениея. Все policy в ACCEPT.
В conntrack сплошные пары UNREPLIED NEW / DESTROY.
Kube 14.1 лил через кубспрей.
Помогает подняться flush nat таблицы, но всегда же жить так не будешь?
используем. все работает без проблем.
сеть L2 ? проверь iptables, вдруг как у меня неприметный -j DROP там есть
Nick
Кто в етме - для Weave cni в рабочем кубе как MTU на 8912 выставить ?
Nick
Кто в етме - для Weave cni в рабочем кубе как MTU на 8912 выставить ?
Снято, надо в даемон сете добавить
- name: WEAVE_MTU
value: "8912"
V 🏴☠️
Подскажите по хельму. Параметры для зависимых чартов, которые указываются в requirements.yaml указываются так же, как и для субчартов (например, global: в values.yaml) или каким то другим образом? Или в requirements.yaml должны содержаться только уже развёрнутые чарты?
Anton
Подскажите по хельму. Параметры для зависимых чартов, которые указываются в requirements.yaml указываются так же, как и для субчартов (например, global: в values.yaml) или каким то другим образом? Или в requirements.yaml должны содержаться только уже развёрнутые чарты?
сабчарты - то что в mychart/charts описано?
зависимости тоже самое и работает все там точно так же (говорю слишком уверенно, наверняка не прав в чем то)
V 🏴☠️
сабчарты - то что в mychart/charts описано?
зависимости тоже самое и работает все там точно так же (говорю слишком уверенно, наверняка не прав в чем то)
Сабчарты - да. Ок, спасибо, судя по доке так и есть, хотел просто убедиться
Andrey
Ребят привет.
Есть ли какие-то расчеты/рекомендации для установки параметров --kube-reserved / --system-reserved ?
Oleg
используем. все работает без проблем.
сеть L2 ? проверь iptables, вдруг как у меня неприметный -j DROP там есть
L2, 2 интерфейса на каждой ноде - внешний и внутренний, flannel идёт оверлеем на внутренний.
Iptables правила сношу полностью, проблема остаётся, если с правилами на дроп всего кроме разрешенного для внешнего интерфейса - то по логам вижу, что пакеты из оверлей сети не зацепляет.
Oleg
В conntrack events вижу на каждую попытку подключения destroy.
Пробовал тюнить sysctl для ipvs - результата нет.
Сейчас попробую затрейсить в PREROUTING'e
Artem
Видели? Тыкали? https://github.com/GoogleContainerTools/kaniko
Stas
Видели? Тыкали? https://github.com/GoogleContainerTools/kaniko
потыкаем, хочу перестать в DinD билдить
Hardcore
Видели? Тыкали? https://github.com/GoogleContainerTools/kaniko
Для тех у кого нет %ci/cd_tool_name% ?)
Artem
Для тех у кого нет %ci/cd_tool_name% ?)
Не совсем так. Сейчас для сборки нужен dockerd, а тут сборка контейнеров как сервис кластера (конечно cr может быть тем же докером, но не суть 🙂 ) На cicd tool напрямую не влияет, хотя в большинстве докер искаропки да
J
всем привет. посдкажите пожалуйста с такой ошибкой.
docker push $LATEST_VER && docker image rm $LATEST_VER
The push refers to repository [gcr.io/blablabla/my-app]
5de0920316a3: Preparing
6270adb5794c: Preparing
6270adb5794c: Waiting
denied: Token exchange failed for project 'blablabla'. Caller does not have permission 'storage.buckets.get'. To configure permissions, follow instructions at: https://cloud.google.com/container-registry/docs/access-control
ERROR: Job failed: command terminated with exit code 1
падает при биоде через gitlab-ci
я так понимаю нужно где то назначить пермишены что бы деплой юзер мог пушить в регистри.
J
я не могу понять где это сделать
Anton
а ссылка на инструкции не помогает?
J
нет
J
делается докер логин
J
docker login -u _json_key -p "${GCE_JSON_KEY}" https://gcr.io
WARNING! Using --password via the CLI is insecure. Use --password-stdin.
WARNING! Your password will be stored unencrypted in /root/.docker/config.json.
Login Succeeded
J
и потом уже делается докер пуш
George
У меня для тебя ещё новость. В облачном гитлабе rm образу можно не делать
George
Лишняя операция
George
У тебя скорее всего роль неверно назначена
George
Я бы перегенерировал токен и права
J
как это сделать
J
как его сгенерить и права дать?
Andor
всем привет. посдкажите пожалуйста с такой ошибкой.
docker push $LATEST_VER && docker image rm $LATEST_VER
The push refers to repository [gcr.io/blablabla/my-app]
5de0920316a3: Preparing
6270adb5794c: Preparing
6270adb5794c: Waiting
denied: Token exchange failed for project 'blablabla'. Caller does not have permission 'storage.buckets.get'. To configure permissions, follow instructions at: https://cloud.google.com/container-registry/docs/access-control
ERROR: Job failed: command terminated with exit code 1
падает при биоде через gitlab-ci
я так понимаю нужно где то назначить пермишены что бы деплой юзер мог пушить в регистри.
Чётко же написано что нет прав на get из бакета, выдай пермишн и будет ок всё
J
блять где это сделать?
Андрей А
J
вот так я выгляжу щас
J
заебался уже рытся в этом дерьме
Andor
Это не "дерьмо", а rbac
J
рбак чет такое вспоминаю
Андрей А
с одной стороны консолька это круто, но порой так хочется во всем этом нормальный гуй
J
разве в гугл платформе нет гуи под это?
Андрей А
ну так платно ж
J
у меня как раз платно
J
я юзаю GCP
Андрей А
я еще не касался сильно rbac, мне это предстоит) так что помочь не могу
Andor
Я могу научить создать кастом роль с пермишном гет на конкретный бакет и выдать эту роль специфичному сервисаккаунту
Andor
Но не буду.
Андрей А
а за бабки?
Андрей А
свой бизнес можно открыть
George
Можно
George
Консалт
George
Я уже вышел в тираж )))
Etki
Андрей А
у меня друган всегда по монитору стучал
Андрей А
когда они были большими и тяжелыми)
Андрей А
чо насчет GlusterFS скажете? в свое время крайне нестабильная штука была
Gleb
мало что поменялось - очень требовательна к правильному подбору дисков, контроллеров, код такой же плохой как раньше.
Андрей А
как я понял альтернатива это ceph?
Gleb
как я понял альтернатива это ceph?
ну если между этими двумя стульями выбирать то да, вообще там что то пилит еще ранчер. Цеф хотя бы можно заставить работать более менее если говорить цеф вс гластер
Gleb
как я понял альтернатива это ceph?
вообще есть еще такая штука как nutanix - за деньги - у них своя файлукха подобного типа но там вообще без проблем
Андрей А
Ок спасибо за инфу
Gleb
еще из кормеческого более менее работающего есть у odin(parallels - virtuozo) https://www.virtuozzo.com/products/virtuozzo-storage.html
Alex
хм, а можно как-то получить прошлую версию secret?
Eduard
Alex
сам удивился
Alex
наверное
Alex
но вроде не должно же меняться?