Михаил
оок, эти постгресы должны быть видны только из куба?
Dmytro
у меня есть похожая ситуация сейчас, нужно сделать ротацию апи токенов которые используются для коммуникации моего микросервиса и микросервисов других команд, токенов этих по моим подсчетам больше сотни
Dmytro
я буду эту задачу делать год или больше, потому что это ад согласований времени выливки и т.д. и т.п.
Dmytro
и вообще заставить другую команду что-то сделать потому что у нас видите ли есть тикет от скеьюрити - да срать они хотели
Andor
на YaC был доклад от Я про быструю межсервисную аутентификацию
Andor
неплохой
Dmytro
да все это красиво на докладах выглядит, но если вам досталось легаси и там уже срали многие годы то нельзя просто встать и вычистить потому что в хипстерском кубернетесе это некошерно, или потому что фронендщики хотят юзать реакт
Dmytro
Dmytro
так и живем
Dmitry
Всем привет! Никак не могу понять как решить одну задачу (( Надо стартовать несколько инстансов postgresql внутри kubernetes, каждый под своим специфичным DNS именем (по корпоративной конвенции).
Ingress не подходит, так как надо подключаться под портом 5432, а Ingress поддерживает только 80 и 443
В сильно крайнем случае, хотя бы сделать так, чтобы под этими доменными именами инстансы постгреса были доступны внутри кластера, но Service нельзя назначить кастомные DNS.
Кластер развернут на bare metal, coreos и tectonic
Помогите, что и где я не понимаю? )
Направить днс записи на прокси, который будет перенаправлять на NodePort для каждого отдельного сервиса(поверх отдельного деплоймента) постгри в кубере?
Andor
какой прокси?
Dmitry
Это не решает проблему dns внутри кубера, но это же «в сильно крайнем случае»
Andor
pgbouncer что ли?
Andor
о, я придумал самый костыльный (на текущий момент) способ!
Andor
iptables'ами перенаправлять подключения к оригинальному хосту на тот сервис который хочется!
Михаил
я три раза перечитал пост и не понимаю проблему внутри кубера
если доступ к пг нужен только из кубера
Михаил
а
Михаил
у них у всех одно имя должно быть?
Andor
ага
Михаил
но при этом они разные?
Andor
ага
Михаил
уф
Михаил
Михаил
а подключатся к ним ко всем надо сразу?
Михаил
или можно по очереди?
Dmitry
Dmytro
ну легаси, а что вы хотели
Andor
ну я думаю там тупо в разных неймспейсах каждый тест будет запускаться
Andor
и потом весь нс грохаться
Михаил
ну если в том же NS то средствами RBAC запретить за выход из NS
и вписать в DNS все postgres сервера
Михаил
раунд робином мы упремся только в один живой
Михаил
который будет в нашем NS
Михаил
да, не эффективно, но и задача так себе)
Amir
гайз а кто-то может подсказать по rancher + ssl?
Andor
Кто с калико работал? Как ему задать размер подсетей на ноду?
Mikhail [azalio]
Чо, в ямле нет да? /24 подходит всем? :)
Andor
да хипстоподелка
Andor
"`/24` на ноду подойдёт всем и каждому"
Maksim
24 это 253 адреса. Учитывая что больше 100 подов на ноде не гуд /25 то же хватит
Andor
о том и вопрос
Andor
как в калико задать размер подсетей на ноду
Maksim
Дык там в конфиг мапе есть POD CIDR
Andor
продолжай
Maksim
Хе а конечный пул реально нельзя задать.
Andor
вот чота да
Andor
у нас тоже не вышло найти где это задать
Andor
ну то есть ответ "задать нельзя, кушайте /24" - тоже ответ
Maksim
Нет можно-)
Maksim
https://docs.projectcalico.org/v3.1/usage/configuration/node
Maksim
ТОлько надо ли оно-)
Andor
ты пробовал вот ровно то что по ссылке?
Andor
или просто погуглил?
Andor
ну я хочу чтобы на ноду выделялось /25 или даже /26
Andor
а там /24
Михаил
ну я хочу чтобы на ноду выделялось /25 или даже /26
Мне вот и интересно зачем. Серые сети кончились?
Andrey
@Andorka эээ а разве не 26 https://github.com/projectcalico/libcalico-go/issues/761
Andor
ну вот у нас почвему-то /24 вылезло
Andor
ладно, щас коллега дойдёт и перепроверит
Roman
Я тоже вижу в исходниках /26, но по факту
/etc/calico/confd/config/bird_aggr.cfg: # Block 10.20.27.0/24 is confirmed
это на quay.io/calico/node:v3.1.1
Andrey
у меня 2.6.8
Andor
покажи шаблон бёрда на 2.6
Roman
https://github.com/projectcalico/libcalico-go/blob/master/lib/ipam/ipam_block.go#L44
Roman
я тоже вижу тут
> BlockPrefixLength: 26,
Roman
шаблон только выгребает из api блок, в нем самом нет логики
Andrey
@Andorka https://github.com/projectcalico/felix/tree/2.6.7/etc/bird
Andor
не, с живых нод можешь показать какая маска в конфиге получается?
Andor
Andor
@inish777 можешь на реальной ноде калико посмотреть в конфиг бёрда?
Andrey
я уже
Andrey
там /26
Andor
вот зараза
Andor
спасибо
Andrey
вот зараза
function calico_aggr ()
{
if ( net = 10.233.79.64/26 ) then { accept; }
if ( net ~ 10.233.79.64/26 ) then { reject; }
}
Andor
ну короче у тебя в шаблон уже приходит нормальное /26
Anton
Имеет смысл postfix закинуть в кубер (внешний volume ceph)?
Михаил
ну если тебе хочется, то почему нет?
Anton
просто придется делать net=host - толку от этого?
Михаил
выставить наружу?