sherzod
еще зависит от того что у вас за облако, чистый кубер или gcloud какой-нить грёбаный
AB 🇨🇾 🍉
Не, внутри кластера
Салтыдык
КАк сделать чтобы сервис был доступен из под?
тут вариант только ingress?
а можно сделать так чтобы недоступен был?
AB 🇨🇾 🍉
с calico можно) я сам удивился
Anonymous
helm template ./charts-myservice -f staging.yml | istioctl kube-inject -f - | kubectl apply -f -
кто-нибудь может предложить команду попроще? :)
Logan
default-to-deny
CrusaderX
CrusaderX
Если нет внешних сервисов
Anonymous
ну у меня не альфа
Anonymous
ммм, че-то упустил момент, почитаю спасибо :)
CrusaderX
Если копсом разворачивал на awsе, то вот пример
kubeAPIServer:
admissionControl:
- NamespaceLifecycle
- LimitRanger
- ServiceAccount
- PersistentVolumeLabel
- DefaultStorageClass
- ResourceQuota
- DefaultTolerationSeconds
- Initializers
runtimeConfig:
admissionregistration.k8s.io/v1alpha1: "true"
CrusaderX
Ну или эти же строчки можно руками добавить на апи
Initializers / —runtime-сonfig=admissionregistration.k8s.io/v1alpha1=true
Anonymous
gke :)
AB 🇨🇾 🍉
надо через Service. expose --type=ClusterIP
>The Service "config" is invalid: spec.clusterIP: Invalid value: "": field is immutable
or
>Invalid value: "10.0.171.239": field is immutable
Mikhail
Господа, добрый день! Подскажите куда почитать кроме гугла - про особенности настройки k9 поверх vmware. Бывают некоторые проблемы с работой сетей приложения, хочу подиагностировать.
sherzod
sherzod
или вероятно такой сервис уже создан
AB 🇨🇾 🍉
создан, но я делаю replace
sherzod
лучше удалить и заново создать
sherzod
а если создан, то зачем создавать? или там тип NodePort?
AB 🇨🇾 🍉
неа, там только
spec:
ports:
- name: "3000"
port: 3000
targetPort: 3000
AB 🇨🇾 🍉
targetPort можно убрать
nodeport не нужен для сервиса который не должен смотреть в мир
а вот на счет ingress не уверен
sherzod
я про тип сервиса
kubectl get services
в поле TYPE что показывает для этого сервиса?
AB 🇨🇾 🍉
ClusterIP
AB 🇨🇾 🍉
Создался, ему маска подсети не нравиласьу
сейчас с ingree LoadBalancer
sherzod
Зачем ingress внутрикластерному сервису? просто обращайтесь на любую ноду по указанному порту и ClusterIP, он перенаправит сам.
AB 🇨🇾 🍉
Зачем ingress внутрикластерному сервису? просто обращайтесь на любую ноду по указанному порту и ClusterIP, он перенаправит сам.
да, все верно, спасибо!
сложность оказалась в том что не супортиться icmp + в бинарных go контейнерах нету нормальных тулов для нетворк дебага
sherzod
ок)
AB 🇨🇾 🍉
Гайз, еще вопрос
почему может не резолвиться dns сервиса?
...exec -it config-5b4f9c9546-kz9t5 -- sh -c "curl -v 10.111.57.167:3000"
- так работает
...exec -it config-5b4f9c9546-kz9t5 -- sh -c "curl -v static:3000"
- не работает
Alik
Привет!
У меня есть сервис в котором rest api по некоторому префиксу /prefix. Сейчас на него весь трафик бежит через один ингресс. Я хочу чтобы по префиксу /prefix/longer-prefix трафик на этот сервис шел через другой ингресс.
Есть ли в такой схеме какие-нибудь нюансы?
sherzod
Гайз, еще вопрос
почему может не резолвиться dns сервиса?
...exec -it config-5b4f9c9546-kz9t5 -- sh -c "curl -v 10.111.57.167:3000"
- так работает
...exec -it config-5b4f9c9546-kz9t5 -- sh -c "curl -v static:3000"
- не работает
А там неймспейс какой?
можно попробовать с полным именем static.default.svc.cluster.local
sherzod
static это конечно так себе имя))
AB 🇨🇾 🍉
А там неймспейс какой?
можно попробовать с полным именем static.default.svc.cluster.local
нейспейс в алиасе
Could not resolve host: static.default.svc.cluster.local
Vladimir
нейспейс в алиасе
Could not resolve host: static.default.svc.cluster.local
- не работает днс-сервис
- нет до него доступа
AB 🇨🇾 🍉
Из разных контейнеров DNS то есть, то нету:
AB 🇨🇾 🍉
AB 🇨🇾 🍉
а конфг сервисов из которых пытаюсь резолвить такой
AB 🇨🇾 🍉
AB 🇨🇾 🍉
с подой и сервисами dns все ок
Vladimir
Из разных контейнеров DNS то есть, то нету:
у меня такое поведение было, когда я читал доку между строк и не загрузил модуль ядра br_netfilter, который в свою очередь выставляет net/bridge/bridge-nf-call-iptables в 1
Vladimir
т.е. убедитесь что br_netfilter загружен и net.bridge.bridge-nf-call-iptables = 1
k4k
Всем привет. Подскажите пожалуйста с чего начать ознакомление с кубиком.
Mikhail [azalio]
Всем привет. Подскажите пожалуйста с чего начать ознакомление с кубиком.
https://kubernetes.io/docs/setup/pick-right-solution/
G72K
Хотите любой кластер с calico нафиг уронить? Создайте NetworkPolicy где порт прописан именем, а не числом ) желательно в пятницу вечером
Maksim
Хотите любой кластер с calico нафиг уронить? Создайте NetworkPolicy где порт прописан именем, а не числом ) желательно в пятницу вечером
А ему плохо от этого? Он не могет в буквы?)
G72K
Все calico-node паникуют и становятся недееспособными
Anonymous
народ, я че-то туплю...
хочу чтобы деплойменты просходили один за другим (выкатили первый под, хелсчек сработал, выкатили второй под...)
насколько я понял из доки стратегия такая:
strategy:
type: RollingUpdate
rollingUpdate:
maxSurge: 1
maxUnavailable: 1
один под выкатывается за раз, только один под может быть недоступен (unready)
что концептуального я пропустил с моим знанием английского что они сразу все вываливаются? : )
Роман
Подскажите, а etcd-кластер обязательно должен иметь нечётное количество нод? Если я подниму четвёртый экземпляр, мне на него руками данные переносить нужно или он сам притянет изменения?
Etki
Должен все сделать сам
https://coreos.com/etcd/docs/latest/op-guide/runtime-configuration.html#add-a-new-member
> The new member will run as a part of the cluster and immediately begin catching up with the rest of the cluster.
Etki
другой вопрос - зачем нужен четвертый участник? чтобы вынуть один из первых трех?
Serega
народ, я че-то туплю...
хочу чтобы деплойменты просходили один за другим (выкатили первый под, хелсчек сработал, выкатили второй под...)
насколько я понял из доки стратегия такая:
strategy:
type: RollingUpdate
rollingUpdate:
maxSurge: 1
maxUnavailable: 1
один под выкатывается за раз, только один под может быть недоступен (unready)
что концептуального я пропустил с моим знанием английского что они сразу все вываливаются? : )
они так и происходят, и это дефолтная стратегия, если не указано обратное. Как ты определяешь что они все сразу вываливаются?
Serega
как вариант поставь maxUnavailable: 0 - тогда вообще железобетонно.
Anonymous
ммм… скорее всего поэтому, спасибо
Роман
другой вопрос - зачем нужен четвертый участник? чтобы вынуть один из первых трех?
Да. Хочу на другой сервер перенести.
AB 🇨🇾 🍉
т.е. убедитесь что br_netfilter загружен и net.bridge.bridge-nf-call-iptables = 1
Спасибо, модуль ядра работал
Оказалось, проблема в кривом фаерволе DigitalOcen-a, с нормальными правилами он не нормально работает
AB 🇨🇾 🍉
Хотите любой кластер с calico нафиг уронить? Создайте NetworkPolicy где порт прописан именем, а не числом ) желательно в пятницу вечером
Можно разработчикам написать, я сейчас с одним в чате сижу
G72K
Я им issue закинул, прямо с строчкой,кода где косяк
Anonymous
они так и происходят, и это дефолтная стратегия, если не указано обратное. Как ты определяешь что они все сразу вываливаются?
Serega
тоже на это натыкался.
Serega
апдейт будет идти по очереди, один под обновился, readness probe прошел,- под встал в строй. Дальше другой запускается и т.д.
Но это только для апдейта.
Denis
А кто нибудь может подсказать куб сам следит за здоровьем воркер ноды? Например если кончилось все место kubelet отрепортит о проблеме?
Mark
Вроде да, в логах видел это
Mark
Да и скэлинг на этом работает
Mark
Когда новый контейнер не удаётся создать
AB 🇨🇾 🍉
А кто-нибудь видел какой-нибудь годный алерт менеджер для куб кластера?
AB 🇨🇾 🍉
типа: место заканчивается, пода не поднимается, ImagePullOff и тд?
Anonymous
Denis
типа: место заканчивается, пода не поднимается, ImagePullOff и тд?
я думаю это все можно собрать прометеусом, а там уже и алертить
Anton
А кто нибудь может подсказать куб сам следит за здоровьем воркер ноды? Например если кончилось все место kubelet отрепортит о проблеме?
есть eviction policy, если кончается память (ram \ hdd), сработает выселение подов
Denis
Это где настраиватся?
Denis
В настроках kubelet ?
Anton
легко нагуглить по eviction policy