𝚔𝚟𝚊𝚙𝚜
https://www.diffchecker.com/Y8j50XF0
Алексей
судя по всему только harpin правила добавляет
в общем тоже самое что в kube-router
только там это если в конфиге укажешь
Алексей
lvs только в masq режиме?
𝚔𝚟𝚊𝚙𝚜
вроде да, я ниче не менял
Алексей
понятно, спасибо за инфу
𝚔𝚟𝚊𝚙𝚜
да нз, самому интересно было :)
Denis
Всем привет опять ) вопрос про между VPC connection . есть два peered VPC , нужно как то из НЕ куб аппликации достучаться до POD_a который бежит в кластере , сейчас делаю это через External endpoints(ELB) но не уверен что это правильно , тем более наружу сервис експозить не хочется 💩 . Посоветуйте пжлста как разговаривать с сервисами бегущими в кубе
Andor
это нормально
Andor
и ELB не обязательно наружу смотрит
Denis
ну он экстернал с какойто дефолтной SG
Denis
кто знает УРЛу может подергать сервис за всякое )
Rainbow
Я всегда делаю через ingress, это зашквар? (если приватный сервис, то ограничение по ip или токенам)
Rainbow
Ходить на ноды открывать порты же нужно с external endpoints?
Denis
ну поидее если это пирд впс я могу наружу не выходить
Denis
но интернас днс куба я резолвить не научился
Rainbow
Я больше просто интересовался "когда мне следует отказаться от ingress", везде сую его.
Denis почему в вашем случае нельзя делать ingress?
Andrey
Denis
kube-dns вывалите наружу. И внешние запросы должны резолв через него делать, а потом ходить через локалку в peered VPC.
Denis
Ребят, я вчера спрашивал про node-labels и kubespray, они не сетились у меня.
На всякий случай мож кому полезно будет.
Дело в том что kubespray _только_ меняет параметр --node-labels для kubelet, но он работает только когда нода джойнится к кластеру, поэтому запускай не запускай ничо и не поменяется )
Вариант тока удалять ноду из кластера и обратно бутстрапить или ручками через kubectl labels node
Denis
Я больше просто интересовался "когда мне следует отказаться от ingress", везде сую его.
Denis почему в вашем случае нельзя делать ingress?
до игресса както не дошел тоже , ингресс это nginx же ? тоже самое что и ИЛБ только бесплатно
Rainbow
deployment - service - ingress
ingress контроллер смотрит на ingress ресурсы и пишет конфиг для nginx/haproxy/traefik (ingress контроллер какой хочешь)
Denis
ну опять таки - external access to the services in a cluster
Rainbow
ingress можно сделать локальный
Denis
хочется наружу вообще не вылазить
Denis
ага
Denis
вот интересно уже
Rainbow
я насколько понимаю ingress это путь от внешней сети к кластеру. Какая внешняя сеть будет не так важно. Народ меня поправит?
Rainbow
https://github.com/kubernetes/charts/tree/master/stable/nginx-ingress
controller.hostNetwork оно же?
Denis
а если оба ВПС шэрят 1 Hosted zones в route53 , сам route53 ни как не заюзать
Denis
так все вроде там же нашел - AWS route53-mapper
Denis
спс буду копать
Anton
я насколько понимаю ingress это путь от внешней сети к кластеру. Какая внешняя сеть будет не так важно. Народ меня поправит?
ingress controller в общем просто приложение, он даже наружу может быть недоступен
Denis
кстати про наружу-если он деплоится в интернал сабнетах , наружу опять таки через ELB?
Andrey
привет! Как достать логи из свалившегося деплоймента? Уточняю
1) делаю деплоймент через set image
2) жду rollout status
3) если свалилось, делаю rollout undo
вот между 2 и 3 мне надо программно (ну то есть не руками буду kubectl запускать) взять логи свалившегося пода (describe+logs). Проблема в том, что я не знаю, как мне определить какой под смотреть
Anton
предположу что нужно в деплойменте понять какой репликасет создался и дергать логи из подов, которые ему принадлежат
Anton
но наверное эту задачу решает глобальный сбор логов контейнеров, нет?
Andrey
глобального нет (пока?), сейчас в CI/CD надо дать причину отката релиза
Denis
Мужики, подскажите, есть ли возможность через valueFrom:
secretKeyRef: передавать секрет из другого namespace?
Denis
Или вообще есть ли возможность такая
Anton
глобального нет (пока?), сейчас в CI/CD надо дать причину отката релиза
мне кажется решать задачу со сбором логов всеравно придется. и это решение закроет эту проблему
Anton
Мужики, подскажите, есть ли возможность через valueFrom:
secretKeyRef: передавать секрет из другого namespace?
так нельзя. секрет нужно в этот namespace поместить
Timur
@ptchol кубер деплоишь паппетом или кублетом ?
Denis
kubespray'ем же
Andrey
мне кажется решать задачу со сбором логов всеравно придется. и это решение закроет эту проблему
это откроет проблему разработчиков, которым лень искать логи свалившихся контейнеров в общей куче, и которые всё равно попросят это прикрепить к CI/CD пайплайну
Anton
это откроет проблему разработчиков, которым лень искать логи свалившихся контейнеров в общей куче, и которые всё равно попросят это прикрепить к CI/CD пайплайну
ошибки настолько часты? надуманно мне кажется
Andrey
девелоперы хотят билд и выкат на каждый коммит.
Andrey
nodejs
Andrey
я думаю, будет достаточно
Andrey
проект только начинается, у них оно уже падает на демо страничке :)
Anton
Минутка рекламы: завтра будет вебинар по Кубернетес, если кому интересно, подробности тут: https://goo.gl/4nxtKz
Anton
ну так скорее всего ошибки будут не с запуском пода. он проверки прошел - жив
Andrey
в том то и проблема, что не прошёл, на хелсчеки не отвечает
𝚔𝚟𝚊𝚙𝚜
чет в последнем кубе поды в Unknown больше не сносятся с --force --grace-period=0, кто нибудь знает как снести?
𝚔𝚟𝚊𝚙𝚜
уже даже ноды снес, а поды все равно висят
Sergei
ну я как-то через etcdctl сносил
Denis
уже даже ноды снес, а поды все равно висят
Проверь, не осталось ли каких следов после них. Типа PV или PVC
𝚔𝚟𝚊𝚙𝚜
похоже что с PV/PVC таже история
𝚔𝚟𝚊𝚙𝚜
но среди них есть поды которые не используют PVC
𝚔𝚟𝚊𝚙𝚜
видел на гитхабе кто-то еще жаловался 16ч назад. Эх, пошел писать багрепорт
Dmytro
привет! Как достать логи из свалившегося деплоймента? Уточняю
1) делаю деплоймент через set image
2) жду rollout status
3) если свалилось, делаю rollout undo
вот между 2 и 3 мне надо программно (ну то есть не руками буду kubectl запускать) взять логи свалившегося пода (describe+logs). Проблема в том, что я не знаю, как мне определить какой под смотреть
kubectl logs --previous ... если под крешится но ещё не удалён
Denis
видел на гитхабе кто-то еще жаловался 16ч назад. Эх, пошел писать багрепорт
У меня был трабл такой из за PVC. Удалил их и под умер.Долго тогда шаманил
Dmytro
а если оба ВПС шэрят 1 Hosted zones в route53 , сам route53 ни как не заюзать
route53 глобальный на весь аккаунт, не привязан к vpc
Dmytro
кстати про наружу-если он деплоится в интернал сабнетах , наружу опять таки через ELB?
либо через сервис NodePort если есть ноды кластера в публичных подсетях
𝚔𝚟𝚊𝚙𝚜
@denyasmail у меня PVC тоже в Terminating зависли, подозреваю как раз из-за этих подов
Denis
𝚔𝚟𝚊𝚙𝚜
@denyasmail не понимаю что там можно нашаманить кроме удаления с --force --grace-period=0, читал в 1.11 защиту сделали от удаления PVC пока поды еще не завершились, подозреваю это она и есть
Stas
@SinTeZoiD С последнего митапа не оставляет меня вопрос про эти 110 подов на ноду. У меня есть ощущение, что это какая-то legacy фигня. Вот иша, в которой долго и безрезультатно идет обсуждение того, есть ли проблема по факту https://github.com/kubernetes/kubernetes/issues/23349 При этом, для кубелета есть опция увеличить лимит подов. Ты или кто-то еще пробовал стресс тестить это дело после увеличения лимита? У меня есть подозрение, что тут страху больше чем реальных проблем (ну и плюс плохая работа sig-scalability или как она там)
Andrey
нету грепа, к сожалению есть только kubectl
Dmytro
гуглить пробовал? миллион вариантов же https://stackoverflow.com/questions/35797906/kubernetes-list-all-running-pods-name
Михаил
но вообще похоже что народ ссыт несколько
Vadim
@vrutkovs говорил, что у него 250
У нас до 250 в саппорте, да.
Насколько я понял все эти 100 и 110 времен версии 1.2
Andrey
гуглить пробовал? миллион вариантов же https://stackoverflow.com/questions/35797906/kubernetes-list-all-running-pods-name
разумеется пробовал. что я, дурак чтоли, часами в чатике ответа дожидаться
Dmytro
так не работает ни один из вариантов, с jsonpath например (у меня самого такой в одном из скриптов)?
Stas
У нас до 250 в саппорте, да.
Насколько я понял все эти 100 и 110 времен версии 1.2
ну и я пришел к тому же выводу после чтения топиков. Вопрос в том, где реальный предел для k8s 1.11+containerd
Dmytro
но вообще похоже что народ ссыт несколько
оно ж ещё сильно зависит от ноды, на какой-нибудь виртуалки с 8 процами и 110 сильно много
Dmytro
ещё была статья от страйпа - они замеряли сколько времени занимает запуск одного пода (но там старая статья c кубом 1.5 или 1.6 и докер а не containerd)
Stas
оно ж ещё сильно зависит от ноды, на какой-нибудь виртуалки с 8 процами и 110 сильно много
assumption: у нас очень большая нода на которую влезет большое число подов и мы хотим понять именно боттлнеки кублета