Служба ovs-vswitchd не стартует, и все валится

nova-compute туда же

У тебя там нету настроек сертификатов, они все с nova-controller подтянут.

Потому что ovs не стартанул.

А конкретно служба ovs-vswitchd - Open vSwitch Forwarding Unit.

Я вот думаю,. может предыдущий пакет OVS накатить.

placement тоже серсив openstack ?

LXD и apparmor выключил, сейчас посмотрю.

Тоже такая мысль закралась

то старый серт то новый ) почему так может быть ?

Если у тебя кластер, балансировщик на разные инстансы кидает..

И сертик на всех инстансах не проставился.

он сам как то обновит ?

прсото время нужно ?

или надо предпринимать шаги и действия ?

Обычно 5 минут.

серт сменился но теперь пишет

Failed to discover available identity versions when contacting https://keystone.os.site.ru:5000/v3. Attempting to parse version from URL. SSL exception connecting to https://keystone.os.site.ru:5000/v3/auth/tokens: HTTPSConnectionPool(host='keystone.os.site.ru', port=5000): Max retries exceeded with url: /v3/auth/tokens (Caused by SSLError(SSLError(1, '[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed (_ssl.c:852)'),))

хотя тот же серт на horizon не выдает ошибку

https://keystone.os.site.ru:5000/v3/auth/tokens в браузере тоже все ок открывается

и перестал пускать

keystone glance cinder nova-cloud-controller neutron-api placement openstack-dashboard серт заменил и отвязал от ваулт

если не самоподписанный, то CA по идее не нужен

а почему бы просто через инстанс с 2 портами (паблик и приватный влан) не прокидывать ?

а там хоть какой серт

так у тебя куча CA удостоверяющих лежит в системе

а пароли точно в кейстоне хранятся ?

а пароли точно в кейстоне хранятся ?

абсолютли

а где ещё ?

keystone как входная точка, без него ничего фурычить не будет

на самом деле они хранятся на диске

если так то в браузере нет предупреждения

а если по ИП то ругается

это все один и тот же кейстоне

так и должно быть ?

а блин да

))

туплю

серт на имя же

на mysql-innodb-cluster и rabbitmq-server лучше не менять серт ?)

на mysql-innodb-cluster и rabbitmq-server лучше не менять серт ?)

Только на сервисах OpenStack.

Только на сервисах OpenStack.

ок ё

почему аторизация могла пропасть

ошибок нету вроде

да

и его

я везде апачь ребутнул на всех сервисах опенстек

keystone-hacluster ?

не адет туда добавить

в конфиге нет настроек ssl

на самом деле они хранятся на диске

душнила мод он ?

2023-04-24 11:34:37.969537 oslo_db.exception.DBConnectionError: (pymysql.err.OperationalError) (2003, "Can't connect to MySQL server on '127.0.0.1' ([SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: self signed certificate in certificate chain (_ssl.c:1131))") 2023-04-24 11:34:37.969540 (Background on this error at: https://sqlalche.me/e/14/e3q8)

root@juju-44d201-2-lxd-2:/var/log/apache2# cat keystone_access.log

это тут

Там ток в случае с hacluster keystone ssl прям на апаче, haproxy просто раскидывает, но не терминирует)

но если отвязать БД от ваулта все пойдет по одному месту ?

так ваулт будет давать серт

а как починить связку ?

да что бы с ним случилось все же работало до смены серта

одна и та же цепочка

хорайзен открывается страница авторизации без проблем ошибок нету

Unexpected API Error. Please report this at http://bugs.launchpad.net/nova/ and attach the Nova API log if possible. <class 'neutronclient.common.exceptions.InternalServerError'> (HTTP 500) (Request-ID: req-bfe5e96a-a3ee-44f4-949d-05125dc20de7)

@Millagart подскажи плиз при смене сертификата на опенстек сервисах нужно отвязывать от ваулта ? (удалять relation) ??

@Millagart подскажи плиз при смене сертификата на опенстек сервисах нужно отвязывать от ваулта ? (удалять relation) ??

Да.

@Millagart если закинуть свой серт в mysql-innodb-cluster и отрубить от ваулт будет фиаско ?

Причем тут vault и Mysql?

Просто отвязать тебе нужно OpenStack cервисы отвязать от vaul, ничего более.

Can't connect to MySQL server on '127.0.0.1' ([SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: self signed certificate in certificate chain

эта ошибка не св]занна что в mysql не тот серт ?

В mysql нужно загружать свой серт?

Can't connect to MySQL server on '127.0.0.1' ([SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: self signed certificate in certificate chain

Начиная с какой-то версии вроде бы галера друг к другу ходит по SSL

кароче все что я надобавлял можно удалять )

тот

как я понял он упирается на серт в mysql

а ему выдает серт ваулт

а отвязывать mysql от vault не вариант

я же верно понимаю что на всех сервисах openstack и на mysql должны быть одинаковые сертификаты чтоб они общались ?

Сертик для MySQL совсем другая тема

keystone не может достучаться до mysql и ругается на сертификат