Походу Слава прав - вы чего то не то делаете...

И кто мешает взять ovs, который в bgp умеет?

Мы его и взяли.

Просто сетевики не захотели спускать External сети на все Data ноды, это основная причина отключения DVR и использования отдельных Network нод.

Соответственно Network Node падают, падает весь L3 трафик, даже внутренний.

И кто мешает взять ovs, который в bgp умеет?

BGP с Network нод будет строится.

Вот ещё, поскольку CentOS Stream горячая тема, от Саши: https://www.youtube.com/watch?v=yf1wO5Iu8uY

А ещё остались люди, которые верят, что стримом можно пользоваться? Я только за прошлую неделю в неё два раза очень больно вляпался.

Реализация СОРМа не проблема, есть куча вариантов.

А ещё остались люди, которые верят, что стримом можно пользоваться? Я только за прошлую неделю в неё два раза очень больно вляпался.

Смотря для чего. У него совсем другая роль, чем у старого CentOS. Нам очень полезен, чтобы тестировать будущую версию RHEL.

Смотря для чего. У него совсем другая роль, чем у старого CentOS. Нам очень полезен, чтобы тестировать будущую версию RHEL.

В этой сфере применения да. Но нормально для Production ты уже его не заюзаешь, как было раньше.

Смотря для чего. У него совсем другая роль, чем у старого CentOS. Нам очень полезен, чтобы тестировать будущую версию RHEL.

Ovmf не тестируете с либвиртом?

Што

В этой сфере применения да. Но нормально для Production ты уже его не заюзаешь, как было раньше.

Не тем же образом, да. Если есть свой staging, с другой стороны, то stream лучше: быстрее фиксы приходят. Я слышал от некоторых песонажей на саммите, что они так делают.

Да есть там разные хмлки))

Ovmf не тестируете с либвиртом?

Не очень понял вопрос. В тестах у нас как раз UEFI и libvirt.

Не очень понял вопрос. В тестах у нас как раз UEFI и libvirt.

Ну например в свежей ovmf фирмварь сломали управление питанием со стороны Windows

Ну например в свежей ovmf фирмварь сломали управление питанием со стороны Windows

Винду мы как-то не тестируем, CI не резиновый :)

Это вопросы к RHEL, не ко мне.

Ну я просто к тому, что там перманенто чинят что сами сломали. Я не уверен, что это хорошо даже под ci. В самом последнем ядре, например, просто пропали модули ядра под делловские рейд контроллеры.

Я тоже не от всего в восторге, но это тупо превью того, что случится в следующем RHEL. Винить в этом Stream как таковой нет смысла.

Я тоже не от всего в восторге, но это тупо превью того, что случится в следующем RHEL. Винить в этом Stream как таковой нет смысла.

понятно... такой стабильности, как в центоси больше нет...

Ну я просто к тому, что там перманенто чинят что сами сломали. Я не уверен, что это хорошо даже под ci. В самом последнем ядре, например, просто пропали модули ядра под делловские рейд контроллеры.

Федя, Дима - а чисто эмпирически стабильность получается еще хуже, чем в дебиане?

У меня филосовский вопрос: не проще ли уже софт запаковать в docker и не париться с ОС?

Возможно сделать именно DNAT на лоджикал роутере? (Floating делает полную симметрию, а она мешает).

@mari_korj: user has been CAS banned

Ну я просто к тому, что там перманенто чинят что сами сломали. Я не уверен, что это хорошо даже под ci. В самом последнем ядре, например, просто пропали модули ядра под делловские рейд контроллеры.

Вот тут поддержу негодование, выпилить с наступлением восьмого релиза из ядра часть модулей - кощунство

У меня филосовский вопрос: не проще ли уже софт запаковать в docker и не париться с ОС?

Мы тут поймали такое, запускаешь на centos 7 neutron l3 agent от centos8 и получаеешь дублирование iptables rule

Мы тут поймали такое, запускаешь на centos 7 neutron l3 agent от centos8 и получаеешь дублирование iptables rule

Мне кажется это ответ не мне)

Мне кажется это ответ не мне)

Это как раз про то что не париться и запихать всё в докер

Это как раз про то что не париться и запихать всё в докер

А, к тому, что завернутый внутрь docker neutron l3 agent на базе образа centos 8 дублирует правила если запустить его на cnetos 7?

Я правильно распарсил?)

Да всё так 🙂

Да всё так 🙂

Не ну баги есть везде. Можно же 1. Сделать репорт 2. Поискать образ на базе другой ОС 3. Собрать этот образ самому) хотя бы вариантов больше

Там проблема в том, что модули из c8 которые в docker l3agent генерит правила работают не так как из c7

Просто надо быть внимательными в этом вопросе, баг репорт на что открывать? Для c8 надо использовать c8 образы, а не c7

Просто надо быть внимательными в этом вопросе, баг репорт на что открывать? Для c8 надо использовать c8 образы, а не c7

Интересно что будет на убунту)

Всё в ваших руках 🙂 ansible kolla можно переменными накидать такую дичь довольно легко 🙂

Скорее проблема в iptsbles/nftables именно в 8ке удалили поддержку iptables и остался исключительно nftablee, но к тому же в этот момент обновили и сам iptables,он просто новее и работает по другому. El7 насколько помню 1.4.x, el8 уже 1.8.x

Федя, Дима - а чисто эмпирически стабильность получается еще хуже, чем в дебиане?

Вы не путаете, случайно, дебиан с чем-то другим? Я всегда считал, что stable debian обновляется гораздо реже и вдумчивей, чем убунта.

Вы не путаете, случайно, дебиан с чем-то другим? Я всегда считал, что stable debian обновляется гораздо реже и вдумчивей, чем убунта.

сначала стабилизируют убунту, потом все это в дебияне настаивается и выходит новый релиз дебияна )

А если еще и смотреть на то что откуда растет то убунта окажется debian testing + unstable

Денис вы места сына и отца перепутали

Денис вы места сына и отца перепутали

а там одно в другое входит и выходит )

промискуитет какой-то у вас нарисовывается)

Дебиан использут как апстрим. почти во всем кроме ну очень специфичных вещей

Вы не путаете, случайно, дебиан с чем-то другим? Я всегда считал, что stable debian обновляется гораздо реже и вдумчивей, чем убунта.

ок. а если сравнивать тогда центось 8 и убунту?

в centos8 нет iptables-legacy, в некоторых обстоятельствах это будет фатально.

ок. а если сравнивать тогда центось 8 и убунту?

Убунту - LTS, саппорт и счастье красноглазикам, 8 стрим - тестовая игрушка. Но. У меня пока большого продакшна на убунте нет, чтобы подписаться под этими словами.

в centos8 нет iptables-legacy, в некоторых обстоятельствах это будет фатально.

а вам оно в нашем камунити зачем? пора уже native рулесы использовать в ovs

а вам оно в нашем камунити зачем? пора уже native рулесы использовать в ovs

Ну мало ли, у у кого-то "ситорически" бриджи или старый релиз)

самое занятное было, конечно, контейнеры с 7 кентосем овер 8 хоста. оказалось, что iptables-legacy на самом деле глубоко где-то есть, просто не ставятся.

Ну мало ли, у у кого-то "ситорически" бриджи или старый релиз)

Мы научились обновлять коллу, и затаскивать любую не колла инсталляцию в коллу, так что не вижу причин не обновляться)

А вот линуксбридж-овёс миграция у меня до сих пор вызывает ужас и нежелание читать код при попытке к ней подойти)

самое занятное было, конечно, контейнеры с 7 кентосем овер 8 хоста. оказалось, что iptables-legacy на самом деле глубоко где-то есть, просто не ставятся.

если упростить, то iptables представляет из себя ipbales.ko + бинарь iptables при переходе на nftables redhat/ibm не стали удалять из ядра поддержку iptables, поэтому, если на 8 центосе катать "старые" контейнеры все будет работать.

самое занятное было, конечно, контейнеры с 7 кентосем овер 8 хоста. оказалось, что iptables-legacy на самом деле глубоко где-то есть, просто не ставятся.

в момент перехода k8s страдали сильно со своими kube-proxy и подобными решениями)

а почему вообще centos8? он же уже все...

Мы научились обновлять коллу, и затаскивать любую не колла инсталляцию в коллу, так что не вижу причин не обновляться)

Второе больно ?

Второе больно ?

вообще нет

а почему вообще centos8? он же уже все...

он всё, а мы ещё не успели за ним

Второе больно ?

главное план и его придерживаться. а так - просто посервисно переносишь в докеры всё, что у тебя было до этого в других местах.

главное план и его придерживаться. а так - просто посервисно переносишь в докеры всё, что у тебя было до этого в других местах.

И реконфигурить компьюты?

главное план и его придерживаться. а так - просто посервисно переносишь в докеры всё, что у тебя было до этого в других местах.

докеры как способ доставки софта, а не вот это вот все что вы там себе успели подумать))

И реконфигурить компьюты?

тут не понял, что именно реконфигурить?

тут не понял, что именно реконфигурить?

Все лишние сервисы выпилить и агентов

Чтоб они в докерах жили

так на компуте у тебя всего лишь нова, либвирт и овёс/бридж, их по очереди и переносишь в контейнер. с либвиртом был небольшой квест в путях к xml, насколько я помню, остальное вообще без приключений уезжает в контейнеры.

а вам оно в нашем камунити зачем? пора уже native рулесы использовать в ovs

Все равно в vrouter используется iptables

А вот линуксбридж-овёс миграция у меня до сих пор вызывает ужас и нежелание читать код при попытке к ней подойти)

Довольно легко, если делать по compute когда он пустой без vm

Все равно в vrouter используется iptables

Смотрим в будущее и OVN)

Довольно легко, если делать по compute когда он пустой без vm

А vxlan будет потом к этой кампуте?

Между овсом и брижом так сказать

А vxlan будет потом к этой кампуте?

Да там из сложного меняется только tap куда подключается

А, там все сети уже на бридже, а не только iptables

Технически это тот же vxlan. Надо посмотреть ovs включается на neutron server или только на compute

вот откопал немного "интересного" про то, когда у тебя ядро на хосте свежее, а iptables старый)

вот откопал немного "интересного" про то, когда у тебя ядро на хосте свежее, а iptables старый)

в ядре живет одно и тоже правило, но разные версии iptables "видят его по разному", что еще интереснее, старый iptables может удалить правило без ошибок и даже создать может тоже без ошибок, но! тут самое интересное! :) оно просто молча не работает...

Технически это тот же vxlan. Надо посмотреть ovs включается на neutron server или только на compute

Я теорию про vxlan тоже знаю, меня практические изыскания пугают. Где-то читал, что чуть ли не на уровне базы можно иметь проблемы при одновременной работе ovs и бриджа.

Я теорию про vxlan тоже знаю, меня практические изыскания пугают. Где-то читал, что чуть ли не на уровне базы можно иметь проблемы при одновременной работе ovs и бриджа.

Не пробовал, только ovs + iptables -> ovs + ovs filter делал миграцию

dpdk как-то влияет на производительность ovs фильтров ?

Не пробовал, только ovs + iptables -> ovs + ovs filter делал миграцию

Там вроде через live миграцию всё? Оно отличается только конфигом овса на ноде

Коллеги, привет! А вопросы по tionix в этой группе считаются релевантными?