Макс

мы с 2.0.x на 2.2.x обновлялись

Макс

по дефолту ранчер делает на год token-node.crt

Макс

и localhost.crt

Макс

но слышал, но не пробовал, что можно свои сделать сразу лет на 100 и не париться

Макс

при установке ранчера

Lucky SB

ну вот свои то все сделали. и все работет.

Lucky SB

кроме одного этого серта

Макс

ну мы вообще еще зеленые в этих кластерах и куберах. Сами ничего с ними не делали, просто ранчер обновили когда протух сертификат

Макс

в логах у нас такое было

Макс

например

Lucky SB

в логах у нас такое было

а как ранчер обновляли ?

Lucky SB

стопнули старый. сделали бекап /var/lib/rancher и запустили на тот же каталог новый контнейре ?

Макс

да, забекапили, старый контейнер тоже оставили, запустили новый

Макс

плюс снапшот ВМ сделали на всякий

Lucky SB

да, забекапили, старый контейнер тоже оставили, запустили новый

в доке пишут, что старый контейнер надо удалить. а то при рестарте виртуалки оно запустится могет

Макс

потом, когда все взлетело удалили старый контейнер

Макс

да, мы об этом знали

Макс

что при ребуте он запустится. удалили в тот же час, как убедились, что новый работает и сертификаты новые

Макс

в новых ранчерах в меню ротацию цертов добавили

Макс

вот тред по проблеме на гите

Макс

https://github.com/rancher/rancher/issues/20011

Lucky SB

делаю бекап ))) и обновляюсь

Макс

скрестил пальцы )

Макс

В данном случае да, а если ласт?)

https://rancher.com/docs/rancher/v2.x/en/cluster-admin/certificate-rotation/

Макс

но чисто гепотетически, если ласт, то у тебя еще год до того, пока сертификаты протухнут )

Макс

а там уже и ранчер 3.0 выйдет

Lucky SB

скрестил пальцы )

суука. ранчер 2.0.15

Lucky SB

и все серты, что я руками обновлял заменил на старые

Lucky SB

и ноды опаят поотваливались

Макс

суука. ранчер 2.0.15

так с 2,0,15 из гуя серты можно обновить, ну тут я правда теоретик, сам еще эту функцию не юзал

Lucky SB

так с 2,0,15 из гуя серты можно обновить, ну тут я правда теоретик, сам еще эту функцию не юзал

а долго оно обновлялось

Макс

не очень, но ноды не сразу встали встрой, но у нас там и железо дохлое

Lucky SB

а сколько ноды вставали в строй ?

Макс

вот по нодам не помню, а админка ранчера ожила быстро, на бекапы тупняки и запуск новой версии ранчера ушло минут 20

Lucky SB

вот что пишет

Lucky SB

This cluster is currently Updating. Failed to get Kubernetes server version: the server has asked for the client to provide credentials

Lucky SB

после обновления ранчера с 2.0.8 на 2.0.15 оно пишет в веб морде теперь вот такое. Host must be a URL or a host:port pair: "https://" сертфиикаты также отказывается обновлять

Lucky SB

ненавижу ранчер. вчера обновил с 2.0.8 до 2.0.15, а сегодня у ранчера сдох его внутренний etcd. протухли сертификаты

Lucky SB

грррр

Andrey

На кой черт вам вообще этот ранчер?

Petrukhin

На кой черт вам вообще этот ранчер?

Вот и правда, видимо хотят магии

Lucky SB

На кой черт вам вообще этот ранчер?

он не мой. чужой реанимирую

Petrukhin

он не мой. чужой реанимирую

Бох вам в помощь

Andrey

он не мой. чужой реанимирую

В конторе его фанаты протащили?

Lucky SB

энузиасты.

Petrukhin

Я никогда не понимал зачем он нужен, если все делает кубер

Lucky SB

есть опыт с продлением сертов внутри самого ранчера ? там в контейнере с ним какой=то мини-мини куб запущен

Andrey

Я никогда не понимал зачем он нужен, если все делает кубер

Да сами кубеня приготовить - это та ещё задача, где на магию более низкого порядка надеяться не стоит. А тут ранчер...

Vadim

ненавижу ранчер. вчера обновил с 2.0.8 до 2.0.15, а сегодня у ранчера сдох его внутренний etcd. протухли сертификаты

хз как в ранчере, вот как мы делаем https://github.com/openshift/openshift-ansible/blob/release-3.11/roles/etcd/tasks/certificates/deploy_ca.yml https://github.com/openshift/openshift-ansible/blob/release-3.11/roles/etcd/tasks/certificates/fetch_server_certificates_from_ca.yml https://github.com/openshift/openshift-ansible/blob/release-3.11/roles/etcd/tasks/certificates/fetch_client_certificates_from_ca.yml

Lucky SB

хз как в ранчере, вот как мы делаем https://github.com/openshift/openshift-ansible/blob/release-3.11/roles/etcd/tasks/certificates/deploy_ca.yml https://github.com/openshift/openshift-ansible/blob/release-3.11/roles/etcd/tasks/certificates/fetch_server_certificates_from_ca.yml https://github.com/openshift/openshift-ansible/blob/release-3.11/roles/etcd/tasks/certificates/fetch_client_certificates_from_ca.yml

найти бы еще где внутри этого ранчера его сертификаты живут. это ж чем надо писать прогу, чтоб такое выродить.

Vadim

найти бы еще где внутри этого ранчера его сертификаты живут. это ж чем надо писать прогу, чтоб такое выродить.

погляди какие сертификаты читает аписервер

Vadim

(надеюсь у них там хотя бы static pods, тогда проще)

Lucky SB

(надеюсь у них там хотя бы static pods, тогда проще)

у них один бинарник rancher внутри контейнера

Vadim

у них один бинарник rancher внутри контейнера

это видать своя версия hyperkube, главное создает ли он поды

Lucky SB

криворукие гр

inqfen

ненавижу ранчер. вчера обновил с 2.0.8 до 2.0.15, а сегодня у ранчера сдох его внутренний etcd. протухли сертификаты

Там ключ rke есть для обновления сертов

Lucky SB

Там ключ rke есть для обновления сертов

а можно подробнее ?

Lucky SB

root@3ba30f48c0c0:/etc/kubernetes/ssl# rke bash: rke: command not found внутри контейнера с ранчером

inqfen

https://rancher.com/docs/rke/latest/en/cert-mgmt/

inqfen

root@3ba30f48c0c0:/etc/kubernetes/ssl# rke bash: rke: command not found внутри контейнера с ранчером

Так а что ты внутри ищешь

inqfen

Rke это что-то типа kubeadm

inqfen

Ей кластер накатывается

Lucky SB

кластер через вебморду поднимали

Lucky SB

rke тут нет никакого. и cluster.yml непонятно где должен лежать

Lucky SB

если его поднимали вебмордой

Lucky SB

и все это относится к кластеру который ранчером поднят. а у меня протухли серты самого ранчера. он не работает.

Vadim

тем временем релизнулся Ceph CSI - https://github.com/ceph/ceph-csi/releases/tag/v1.1.0

Lucky SB

ранчер реанимировал. перевыпустил сертификаты вручную через openssl и запихал их в bundle.json вернулись к преддыущей проблеме. после обновления ранчера с 2.0.8 до 2.0.15 рабочий кластер остался висеть в состоянии This cluster is currently Updating Host must be a URL or a host:port pair: "https://" кто нибудь сталкивался с таким сообщением ? куда копать непонятно.

Stanislav

Мало кто юзает ранчер)

Alexander N.

Коллеги есть тут кто на 1.14.4?

Alexander N.

сделал upgrade с 1.14.1

Alexander N.

а он мне все kube-proxy поды выпилил к чертовой матери

Alexander N.

откатился обратно - все хорошо

Andrey

Хм, а я только на 1.14.3

Andrey

Ща на песочнице апгрейд пульну

Andrey

Да все вроде как надо

Andrey

Чем кластер апгрейдил?

Egor

А для кластера stolon кто какой storage-class использует? Какие-то подводные камни там есть?