И? Если тебе кажется что твой путь верный, это не значит что он подходит всем

здесь

батенька, да у вас театр

о, передаю эстафету!

я курить

о, передаю эстафету!

да я сказал )

чувак вероятно и так это понимает

здесь

Так я не говорил что у тебя он не верный. Я говорил что есть разные пути.

батенька, да вы админ энтерпрайзный!

знаю я одну фирму, она апдейты приложений (в том числе конфигов) привозила как RPM пакеты

Так я не говорил что у тебя он не верный. Я говорил что есть разные пути.

но ты идешь по пути где граблей сильно больше, чем могло бы быть

please be patient, I have безопастность

чувак вероятно и так это понимает

кажется нет

вот тут похоже в ту же сторону идет товарищь

@azalio а я тебя кажется знаю?

батенька, да у вас театр

Конечно театр, безопасность должна быть безопасна. Это знает любой безопасник.

ник больно знакомый

@azalio а я тебя кажется знаю?

Я хз. :) Яндекс, Лазада. Может там.

Я хз. :) Яндекс, Лазада. Может там.

первое. А чо тебя в экс-я нет?

Я ушёл из этого чата.

Я ушёл из этого чата.

а чо так?

Я хз. :) Яндекс, Лазада. Может там.

а ща тебя куда занесло?

а чо так?

Слишком много сообщений было первую неделю. :)

Слишком много сообщений было первую неделю. :)

скинуть линк? )

а ща тебя куда занесло?

mail.ru :)

скинуть линк? )

Ну давай :)

mail.ru :)

а, тогда вопросов больше нет про вашу безопасность )

мне знакомый много боли рассказывал :D

которую там испытал

а мейл.ру же вроде генту крутят на серверах или я путаю?

У меня нет.

а мейл.ру же вроде генту крутят на серверах или я путаю?

я слышал у них центось )

хмм а кто ж это был тогда

Мне на собеседовании говорили что есть где-то. Но я не нашёл пока

@azalio короче, Я хз, куда пропадают пакеты, разобраться в том буйстве iptables сейчас не могу

но пакеты приходящие от удаленного хоста тупо не доходят до интерфейса pod'а

но пакеты приходящие от удаленного хоста тупо не доходят до интерфейса pod'а

То есть пакеты попадают на удаленный хост?

да

другую ноду кластера

Обратно тоже приходят?

и возвращаются, Я ловлю их на внешнем интерфейсе

На ноду

да

Ага.

но в под они не попадают

Что в ip ro sh про сеть пода?

и да, они натятся

Что в ip ro sh про сеть пода?

blackhole 172.22.4.0/25 proto bird

как Я понимаю это не хорошо

И все?

blackhole 172.22.4.0/25 proto bird

Это норм.

а нет

172.22.4.3 dev calic6def642fd6 scope link

есть вот еще такое

Вот.

# ip r | grep 172.22.4 blackhole 172.22.4.0/25 proto bird 172.22.4.3 dev calic6def642fd6 scope link

Но есть из пода уходит на свою ноду, там нат, уходит на удаленную с src ноды, возвращается и в под не попадает.

именно

Форвардинг включён в sysctl и в iptables DROP не стоит

вот это Я дебил

простите

sysctl, а бревна Я и не заметил

огромное спасибо, вот, что значит, что с сетями уже лет 5 дела не имел

Ура :)

да

mail.ru :)

ваще ору одни рассказывают как пиздато катят кубы и имеют крутую квалификацию, другие идут по тем же граблям, с которыми столкнулись первые

Ох :)

Значит они имеют, я не имею. Я же не говорю что я невьебаться какой специалист :)

Значит они имеют, я не имею. Я же не говорю что я невьебаться какой специалист :)

не, я скорее про передачу опыта внутри огромной компании

Сначала надо хоть что-то внедрить. Потом будет опыт нарабатываться и можно будет сделать лучше.

То что внедрили в облаке мейла не подходит другим отделам

не, я скорее про передачу опыта внутри огромной компании

та камон, гляньте на провал с amazon prime day

вот уж казалось бы где нужно было все сделать как положено а что в итоге?

https://habrahabr.ru/post/324918/ уже обсуждали?

https://habrahabr.ru/post/324918/ уже обсуждали?

как сделать из docker lxc?

не

как быстро и просто рассказать контейнеру о его лимитах

ну ок, протащили лимиты - хорошо а на сколько всё хорошо в комбинации lxcfs для докера мы выясним потом на проде

проверь :)

не, я скорее про передачу опыта внутри огромной компании

Ты так говоришь, как будто все что не kube-way (который любой текущий станет деприкейтед через полгода от сейчас), это плохо. Ну моднее кубадм папета, и чо? Оф модуль папета текущий для кубера юзает кубадм ровно так же, как это делает спрей, например. Про перенести мастер в один клик это смешно. Или может через кубадм можно без проблем поинитить etcd внутри кластера сразу отказоустойчивый? Или он тебе ha для апи сам настроит? Ой, подумаешь кубспрей даже если забить на центос на 18.04 не работает вообще. Не все что мейнстрим - не говно. Как с кружкой про миллионы пользователей macromedia flash, которые не могут ошибаться.

но ты идешь по пути где граблей сильно больше, чем могло бы быть

Зато когда ты сделаешь kube hardway, ты будешь понимать что там внутри, а не как 90% "операторов кубернетиса", которые все очень быстро подняли, но потом когда оно сломается сразу в чатик с проблемой.

Я поднимал сам, но когда ломается или не заводится бегу в чатик с проблемой 😥

я поднимал сам и даже костылики писал в kubespray, а вот недавно решил попробовать kubeadm по оффициальной доке копипастой - ничего у меня не взлетело с первой попытки, не работает source nat в calico, а он по доке с kubernetes backend разворачивается..