Друзья, а расскажите, кто как менеджит iptables на машинах с docker?

+1. Сейчас пока --iptables=false везде

+1. Сейчас пока --iptables=false везде

а как ты тогда правила для контейнеров дообавляешь?

Коллеги, доброго дня! Подскажите, пожалуйста, можно ли в registry разделять права на image, т.е. одному пользователю доступны только определенные image, другому другие, и т.д.?

http://port.us.org/

наткнулся тут случайно

а как ты тогда правила для контейнеров дообавляешь?

Никак. Chef ом накатываю тачку и правила, контейнеры с --net=host Когда доберусь до ненагруженных проектов, поиграюсь со swarm ом.

Вчера картинка была в чате с оверхедом port gateway, я правильно понял, что проблема выходной точки актуальна? То бишь внутри сети все ок, но если хотим опубликовать порт в мир, то страдайте? Скажите что я не прав!)

Никак. Chef ом накатываю тачку и правила, контейнеры с --net=host Когда доберусь до ненагруженных проектов, поиграюсь со swarm ом.

Так правила можно накатывать и с включённым iptables в докере

Перетрет же

Ну хз, докер только своё трогает

Это докер только свое трогает, а chef ничего про правила докера не знает

Нифига не удобно конечно, но

Можно, конечно, накостылить решение, но не хочу

Так не флушить, по другому же не потрешь?

Ну если --host, то конечно проще выключить)

Эм, chef генерит файлик с правилами и если он поменялся, применяет

Угу, не катит

Моему внутреннему перфекционисту самому host не нравится, но ...

Угу, не катит

Я же правильно интерпретировал эту картинку?

Да, но я ей не верю)))

Надо самому тестить или другие источники смотреть

Перкона те ещё тестеры ?

Надо протестировать, конечно. Просто когда льется 5к rps не хочется еще в "удобства" утыкаться. Проще в лоб решить

А когда представишь, что засчет прослоек мы увеличиваем кол-во соединений просто так, то... Хочется остаться олдскульным админом)))

По поводу swarm пока вижу только dmz

Упоротость 80 левела, педалить сварм или ванильный докер при наличии нормального инструментария типа кубернетиса или мезоса

Упоротость 80 левела, педалить сварм или ванильный докер при наличии нормального инструментария типа кубернетиса или мезоса

А что умеет кубер, чего сварм не может?

Вопрос религии, конечно, опытные обычно выбирают инструмент под задачу, а не наоборот

бывает, проблема неофита, о вижу докер, пилю докер, пытаюсь сделать все докером) вы же единственный кто работает с технологией, остальные просто не осознали величия докер сварма в проде)

Так вопрос религии или опыта? Каша какая-то

Шура пилите сварм, они золотые

Ваш подход никак кроме религией не назовешь) вера в докер сварм)

Я же правильно интерпретировал эту картинку?

сделал быстрый тест с iperf , overhead есть, но вполне приемлемый

~5-10%, но опять же, это просто iperf

А что умеет кубер, чего сварм не может?

у них очень "хороший" саппорт, который закрывает очевидные массовые баги

саппорт в опенсурс?

ну а почему нет?

в любом случае, там есть люди, которые делают ревью pr и issue

в любом случае, там есть люди, которые делают ревью pr и issue

ну вопрос был в отличаях же

ну вопрос был в отличаях же

на мои взгляд и то и то не очень, но тот вариант который я могу предложить - слишком много ресурсов требует)

Приветствую всех, такой вопросец назрел: есть приложение на ruby on rails, которое использует определенные версии ruby/rails + обращается к другим сервисам на сервере . думал загнать само приложение в докер, но вот как быть с определенными версиями?

Приветствую всех, такой вопросец назрел: есть приложение на ruby on rails, которое использует определенные версии ruby/rails + обращается к другим сервисам на сервере . думал загнать само приложение в докер, но вот как быть с определенными версиями?

rbenv

rbenv

А точнее? Что с ним делать?

/leave

/leave

А точнее? Что с ним делать?

В чём вопрос конкретнее?

Если в контейнере то можно собрать его сразу с нужной версией

Если вне то rbenv

версиями чего ? https://hub.docker.com/_/ruby/

Приложение использует определенные версии раби и реилс, которые сейчас считаются устаревшими и уязвимыми, поэтому хотел запихнуть все приложение, раби и реилс в контейнер изолированный, чтобы на безопасности сервера не отразилось

Приложение использует определенные версии раби и реилс, которые сейчас считаются устаревшими и уязвимыми, поэтому хотел запихнуть все приложение, раби и реилс в контейнер изолированный, чтобы на безопасности сервера не отразилось

Определённую одну версию или сразу несколько?

Только определённое окружение

Одну версию

Одну версию

ну так выбери образ с нужной версией или собери если нет(но всё есть)

Вот я собственно и спрашиваю как это лучше сделать

это лучше сделать самым прямым и естесственным образом

Если ты задаешь этот вопрос, то, возможно, ты до конца не понимаешь как работает докер в целом.

ну да, тоже так показалось, вопрос свёлся к тому - как докером пользоваться

Вот я собственно и спрашиваю как это лучше сделать

lmgtfy http://chrisstump.online/2016/02/20/docker-existing-rails-application/

lmgtfy http://chrisstump.online/2016/02/20/docker-existing-rails-application/

Во, это то, что нужно. Как пользоваться докером я знаю, а вот тонкости переноса Rails приложения туда нет

Госопода подскажите посоветуйте. Кручу nginx-proxy. Как я понимаю для того что бы nginx-proxy увидел ваш контейнер необходимо указать env переменную VIRTUAL_HOST. Это всё? Или необходио так же слинковать свой контейнер с nginx-proxy

эта беда. по адресу php-docker.local не доступна

а внутри nginx-proxy upstream пуст

ERROR: S client not available

где я ошибся?

Вот пример из nginx-proxy.

он рабочий

но тут контейнеры в одной подсети как я понимаю

и тогда nginx-proxy config выглядит так

Скажите хоть что ни будь. А то ощущение что в воздух всё пишу

Как я понимаю docker-compose все контейнеры в файле выносит в отдельный network

а nginx-proxy требует что бы контейнеры были с ним в одной сети

ПОхоже что так и есть

With the addition of overlay networking in Docker 1.9, your nginx-proxy container may need to connect to backend containers on multiple networks.

А есть best practice

для этого как лучше network настраивать?

Госопода подскажите посоветуйте. Кручу nginx-proxy. Как я понимаю для того что бы nginx-proxy увидел ваш контейнер необходимо указать env переменную VIRTUAL_HOST. Это всё? Или необходио так же слинковать свой контейнер с nginx-proxy

Virt_host нужно в контейнере php, а не прокси

Прокси сам его увидит и вытащить, сделает конфиг

ну правильно

это не прокси, это тестовый бек сервер

у него указан VIRUAL_HOST

C этим всё понятно

но даже так

это не заработает

эти два контейнера в разных нетворках

разные compose-файлы

вопрос в том как контейнеры из разных compose-файлов подключить к одному networkу

Урааа

Легкая наркомания на канале, докер композ для вагрантологов)

а то))

Зачем тебе докер тогда