Алексей
Поднимаю production кластеры кубера со знанием docker load и ps :)
Алексей
Нет времени объяснять - нажимай вот эту кнопку
Alexander
Народ насколько хорошо нужно знать докер чтобы начать погружения в кубернетис. Я изучаю сейчас Docker Deep Dive на linux academy. Могу после этого сразу браться за кубернетис на том же ресурсе?
Достаточно знания общих концепций. Курс, который называется Docker Deep Dive, должен это дать, если все честно.
Даниил
Народ насколько хорошо нужно знать докер чтобы начать погружения в кубернетис. Я изучаю сейчас Docker Deep Dive на linux academy. Могу после этого сразу браться за кубернетис на том же ресурсе?
Я начинал работу с k8s вообще без особых знаний docker)
Oleg
чем нынче кубер модно ставить? Раньше Kubespray использовал.
Etki
вам на показ или просто со старыми друзьями посидеть?
Anton
Для локального запуска есть kind
Oleg
мне для себя)))
Solyar
Если пару машин
Solyar
То кубадм достаточно будет
Oleg
вот почему до сих пор нет обертки kubespray в terraform, чтобы можно было на любом облаке кубер развернуть
inqfen
Запилил себе роль в ансибле для него
Yuri
кто кубер посредством terraform ставит?
это юзаю для ЕКS https://registry.terraform.io/modules/terraform-aws-modules/eks/aws/5.0.0
Stefan
Anton
У кого-нибудь была ошибка "Service does not have any active Endpoint" при установке Kibana или Grafana через Helm в https://github.com/kubernetes-sigs/kind (в логах ingress)??
inqfen
Ну значит ни на один под сервис не смотрит
inqfen
Проверь, что они живы и что селектор правильно написан
Stefan
Проверь, что они живы и что селектор правильно написан
за селектор +
часто с этим проблемы бывают
Maxim
Oleg
А какой рабочий CNI с шифрованием в kubespray?
Oleg
кто каким пользуется?
inqfen
Rke ? 😂
По крайней мере работает штабилтнее кубспрея, для кубспрея на aws мне помню немного пришлось темплейты переписывать
inqfen
Не поддерживалось нормально то, что цепляешься по белому ip, а на интерфейсе только серый и по серым кластер друг с другом и должен общаться, но в серты для apiserver нужно белые
inqfen
В rke это искаропки
inqfen
Может в куспрее тоже уже сделали, но раньше не было
Andrei
Есть там это
Oleg
vSwitch у hetzner нормально работает? Что лучше - vSwitсh с VLAN и нешифрованным flannel или шифрованный weave без vSwitch?
Oleg
vSwitch только для decicated, вопрос снят
Andrei
А вы хотите в облаке?
Andrei
Можно wireguard и поверх что угодно
George
А мне вот интересно. А чего это никто про айписек не говорит ?
Andrei
А кому он нужен?
George
Ну, шифрование, все дела
Andrei
В битве wireguard vs ipsec победитель очевиден
Andrei
Я не говорю за места где нужна сертификация и соответствие чему-то, но для обывателя выбор даже не стоит
Etki
люблю безоговорочные утверждения в интернете
Andrei
Оно не безоговорочное)
Andrei
По простоте настройки wireguard рулит. С ipsec даже не хочу больше связываться после этого
George
ipsec прекрасен
George
и самое главное, что он стандартен - его можно интегрировать с любыми цисками и т.п. Но при прочих равных - конечно, проще, если вся эта головная боль на стороне IaaS
George
и не нужно виртуалки или сервера донастраивать
Vadim
потому что все эти способы не шифруют трафик между подами, а только между нодами
George
соглашусь
George
но как бы давайте определимся - мы от кого защищаемся?
Etki
По простоте настройки wireguard рулит. С ipsec даже не хочу больше связываться после этого
совсем не безоговорочное мнение
Andrei
Ну дальше то раскрыл вопрос!)
Etki
да мы поняли, чем проще настраивать - тем лучше
George
это при прочих равных - да, преимущественно, при сохранении функциоанала
George
сорри, заговариваюсь
Vadim
давайте лучше перестанем оффтопить
Aleksey
Andrei
потому что все эти способы не шифруют трафик между подами, а только между нодами
А зачем в добавок шифровать трафик между подами то? Для этого придумали ssl
George
А зачем в добавок шифровать трафик между подами то? Для этого придумали ssl
не все поды работают по http/https/grpc. Или я Вас не правильно понял?
Andrei
Если трафик между нодами зашифрован, то какой кейс шифрования между подами? Если человек попал на машину, то это не спасет
Etki
не все поды работают по http/https/grpc. Или я Вас не правильно понял?
Человек говорит про то, что любой коннект можно завернуть в tls, и тогда шифрование будет на уровне отдельного коннекта
Etki
Но есть условный редис, например
George
𝒜𝓁𝑒𝓀𝓈𝒶𝓃𝒹𝓇
Добрый день!
Может кто подсказать (предоставить примеры) как можно для deployment задать dns имя, чтобы можно было обращаться к сервису по dns имени (чтоб не прописывать постоянно новые IP адреса при перезапуске и смене IP)? Требуется для Heketi GlusterFS, чтобы для storageclasses указать для параметра resturl не IP, а DNS имя,
Прописал в heketi-deployment.json "hostname": "heketi", имя появилось для сервиса:
$ kubectl get svc
NAME TYPE CLUSTER-IP EXTERNAL-IP PORT(S) AGE
heketi ClusterIP 10.244.18.94 <none> 8080/TCP 67m name=heketi
Но пингануть созданное имя не получается:
$ ping heketi
ping: heketi: Name or service not known
$ ping heketi.svc.cluster.local
ping: heketi.svc.cluster.local: Name or service not known
$ ping heketi.cluster.local
ping: heketi.cluster.local: Name or service not known
Подскажите, пожалуйста, где и что я упустил и как настроить работу по DNS имени
Валентин
Добрый день!
Может кто подсказать (предоставить примеры) как можно для deployment задать dns имя, чтобы можно было обращаться к сервису по dns имени (чтоб не прописывать постоянно новые IP адреса при перезапуске и смене IP)? Требуется для Heketi GlusterFS, чтобы для storageclasses указать для параметра resturl не IP, а DNS имя,
Прописал в heketi-deployment.json "hostname": "heketi", имя появилось для сервиса:
$ kubectl get svc
NAME TYPE CLUSTER-IP EXTERNAL-IP PORT(S) AGE
heketi ClusterIP 10.244.18.94 <none> 8080/TCP 67m name=heketi
Но пингануть созданное имя не получается:
$ ping heketi
ping: heketi: Name or service not known
$ ping heketi.svc.cluster.local
ping: heketi.svc.cluster.local: Name or service not known
$ ping heketi.cluster.local
ping: heketi.cluster.local: Name or service not known
Подскажите, пожалуйста, где и что я упустил и как настроить работу по DNS имени
Потому что ip сервиса не пингуется, это ж в документации куба есть. Сущность "сервис" создает dns запись, но если у сервиса есть ip - этот ip лишь правило iptables для конкретного трафика и пинг в него не входит
𝒜𝓁𝑒𝓀𝓈𝒶𝓃𝒹𝓇
Потому что ip сервиса не пингуется, это ж в документации куба есть. Сущность "сервис" создает dns запись, но если у сервиса есть ip - этот ip лишь правило iptables для конкретного трафика и пинг в него не входит
Спасибо, буду знать.
Но проблема в том, что не только ping не работает, но похоже что имя в DNS все таки не прописывается, так как разрешить его не удается:
$ curl http://heketi:8080
curl: (6) Could not resolve host: heketi; Unknown error
$ curl http://heketi.svc.cluster.local:8080
curl: (6) Could not resolve host: heketi.svc.cluster.local; Unknown error
$ curl http://heketi.cluster.local:8080
curl: (6) Could not resolve host: heketi.cluster.local; Unknown error
Anton
Потому что ip сервиса не пингуется, это ж в документации куба есть. Сущность "сервис" создает dns запись, но если у сервиса есть ip - этот ip лишь правило iptables для конкретного трафика и пинг в него не входит
Скорее всего у него не пингуется извне курьера, а не внутри
George
если оно создалось - значит, оно может отрезольвиться. Проверяй свой ДНС внутренний в кубе
Валентин
Спасибо, буду знать.
Но проблема в том, что не только ping не работает, но похоже что имя в DNS все таки не прописывается, так как разрешить его не удается:
$ curl http://heketi:8080
curl: (6) Could not resolve host: heketi; Unknown error
$ curl http://heketi.svc.cluster.local:8080
curl: (6) Could not resolve host: heketi.svc.cluster.local; Unknown error
$ curl http://heketi.cluster.local:8080
curl: (6) Could not resolve host: heketi.cluster.local; Unknown error
Проверка http://heketi:8080 откуда делается? Прям из этого пода или другого пода в этом же неймспейсе? Для деплоя опция dns в какое значение выставлена?
𝒜𝓁𝑒𝓀𝓈𝒶𝓃𝒹𝓇
Проверка http://heketi:8080 откуда делается? Прям из этого пода или другого пода в этом же неймспейсе? Для деплоя опция dns в какое значение выставлена?
Проверка делается с master сервера.
При деплое прописал только следующее значение в файле heketi-deployment.json "hostname": "heketi" в разделе "spec": "spec": Другие значения не менял и не добавлял
Валентин
Проверка делается с master сервера.
При деплое прописал только следующее значение в файле heketi-deployment.json "hostname": "heketi" в разделе "spec": "spec": Другие значения не менял и не добавлял
С сервера, где мастер куба? Ну так а с чего там должно оно резолвится просто так, там прописан кластерныц днс сервер в resolv.conf?
George
inqfen
inqfen
А не с хост нетворка
Anton
Может у кого-нибудь есть идеи. Вот вопрос. https://toster.ru/q/644369
Anton
В metallb нужно указать ip адреса год где установлен kubernetes?
Solyar
В metallb нужно указать ip адреса год где установлен kubernetes?
Только воркеров если не ошибаюсь
Solyar
Добрый день!
Может кто подсказать (предоставить примеры) как можно для deployment задать dns имя, чтобы можно было обращаться к сервису по dns имени (чтоб не прописывать постоянно новые IP адреса при перезапуске и смене IP)? Требуется для Heketi GlusterFS, чтобы для storageclasses указать для параметра resturl не IP, а DNS имя,
Прописал в heketi-deployment.json "hostname": "heketi", имя появилось для сервиса:
$ kubectl get svc
NAME TYPE CLUSTER-IP EXTERNAL-IP PORT(S) AGE
heketi ClusterIP 10.244.18.94 <none> 8080/TCP 67m name=heketi
Но пингануть созданное имя не получается:
$ ping heketi
ping: heketi: Name or service not known
$ ping heketi.svc.cluster.local
ping: heketi.svc.cluster.local: Name or service not known
$ ping heketi.cluster.local
ping: heketi.cluster.local: Name or service not known
Подскажите, пожалуйста, где и что я упустил и как настроить работу по DNS имени
Пинговать это имя нужно из контейнера находящегося в одном неймспейсе с сервисом:
1) Если деплойменты и сервисы в одном неймспейсе то используйте http://service-name:8080
2) Если деплойменты и сервисы в разных неймспейсах то используйте http://service-name.namespace:8080