я не в курсе, что это, сейчас прочитаю, спасибо

для клиентов это прозрачно, они не коннектятся к мастеру напрямую

stolon вещь

коннект идёт через прокси сервис, который в курсе, кто сейчас мастер

разумеется, этот прокси можно и нужно реплицировать?

да

в доке столона есть картинка с диаграммой, там достаточно просто всё

спасибо огромное, буду копать

Подскажите, как правильно задать в k8s учётку для доступа в eu.gcr.io? Делаю так: kubectl -n kube-system create secret docker-registry giftery-gcr --docker-server "https://eu.gcr.io" --docker-username _json_key --docker-email admin@foobar.ru --docker-password=$(cat gcr.json) (пароль это такой JSON) А если потом декодирую .dockerconf из получившегося секрета - получаю невалидный JSON, часть которого ("auth") тоже декодируется в "_json_key:". И образы конечно не качаются.

Создавайте regsecret в одном неймспейсе с деплойментом

Дело не только в неймспесах, у меня как-то вместо пароля открывающая скобка попадает, это не JSON невалидный.

Господа, я делаю вывод что никто тут не зопатчился от meltdown, иначе бы тут было сильно больше сообщений, что докер не может остановить контейнеры. Гонка в runc, которая начала проявляться после meltdown патчей. Фикс есть в runc включенном в докер 18.01

У меня centos 7 с ядром 3.10.0-693.11.6.el7.x86_64 (вроде в нем патч вышел) и докер версии 17.12.0-ce, build c97c6d6 - вроде все окей.

У меня centos 7 с ядром 3.10.0-693.11.6.el7.x86_64 (вроде в нем патч вышел) и докер версии 17.12.0-ce, build c97c6d6 - вроде все окей.

Много контейнеров гоняете туда-сюда?

У нас есть Proof of Concept. Пока глубокая альфа, но гораздо легче, чем ElasticSearch. В плане ресурсов, конечно. Юзабилити ещё тянуть и тянуть. https://github.com/flant/loghouse

о, норм пул реквесты начали принимать)

Много контейнеров гоняете туда-сюда?

Мало, кластер 3 ноды по ~15 подов на ноду + десяток кронджоб

https://github.com/moby/moby/issues/33820

Господа, я делаю вывод что никто тут не зопатчился от meltdown, иначе бы тут было сильно больше сообщений, что докер не может остановить контейнеры. Гонка в runc, которая начала проявляться после meltdown патчей. Фикс есть в runc включенном в докер 18.01

они так и не осилили багфикс-релизы?

Связанный фикс в runc https://github.com/moby/moby/issues/36010

ребят подскажите у меня кластер слушает порт которого нет в сервисах  netstat + ps выдают мне строку что это kube-proxy

как мне найти этот сервис который слушает этот порт и увидеть что там происходит

lsof -i :port (or something similar)

А кто подскажет с какой версии kube-dns подтягивается в эко-систему? Я поставил 1.5 (по инструкции с сайта), но в запущеных не вижу пода с ДНС. Соответственно не могу находить контейнеры по ДНС или по Имени. Возможно есть вариант подкрутить консула для автодискавери сервисов или все намного проще?

А кто подскажет с какой версии kube-dns подтягивается в эко-систему? Я поставил 1.5 (по инструкции с сайта), но в запущеных не вижу пода с ДНС. Соответственно не могу находить контейнеры по ДНС или по Имени. Возможно есть вариант подкрутить консула для автодискавери сервисов или все намного проще?

А в каком неймспейсе смотришь? Попробуй kubectl get pod -n kube-system

Alexander ns —all :)

В том то и дело что нету ... Должен быть из коробки, но я не в клауде сетапил, а в виртуалбоксе для тестов.

Ребят, а куб умеет loadbalancer делать не в облаках, а в чем то более приземлённом вроде nginx или haproxy?

Подскажите как правильно реализовать кубернетес, чтобы закрыть все порты наружу на сервере кроме 80 и 443. Почитал, что для этого нужен ингресс-нжинкс. пробовал ставить по 3 разным гайдам и получается связка: деплоймент-сервис-ингресс. Но сервис прокидывает на белый ip порты только с 30000, а мне нужны 80 и 443. Или для этой цели нужен нжинкс на хосте с proxy-pass?

ингресс делает listen на 80,443 и при запросе роутит на нужный сервис

чтоб закрыть все порты, лучше всего иметь иметь доступ в инет только на ингрес ноде

Ребят, а куб умеет loadbalancer делать не в облаках, а в чем то более приземлённом вроде nginx или haproxy?

эт слишком общая задача, loadbalancer расчитывает на готовую инфраструктуру. думаю пилить балансировщики не входит в рамки задач к8с

Ребят, а куб умеет loadbalancer делать не в облаках, а в чем то более приземлённом вроде nginx или haproxy?

для этого и есть ингресс)

Лушче всего иметь доступ из интернета только на балансере и больше нигде.

ингресс делает listen на 80,443 и при запросе роутит на нужный сервис

Да по идее так должно быть, но при просомтре портов котоыре слушает сервер там нет 80 порта. хотя ингресс активен, все поды активны и в статусе ингресса стоит 80 и нужный ip

посмотри что за nginx правило генерится

в чем проблема

Подскажите как правильно реализовать кубернетес, чтобы закрыть все порты наружу на сервере кроме 80 и 443. Почитал, что для этого нужен ингресс-нжинкс. пробовал ставить по 3 разным гайдам и получается связка: деплоймент-сервис-ингресс. Но сервис прокидывает на белый ip порты только с 30000, а мне нужны 80 и 443. Или для этой цели нужен нжинкс на хосте с proxy-pass?

порты с 30000 выделяются для service NodePort. самый простой способ забиндить ingress-nginx на 80,443 - запустить его с hostnetwork

для этого и есть ингресс)

Ingress подразумевает что сверху оно еще и балансером накрыто либо в dns указаны все ноды. Вот я и хочу сверху приделать лоадбалансер, но хочется чтоб куб умел им управлять. Я слышал про то что он умеет в гуглклауде и тп это делать, но хочется чтоб он управлял чем то более приземленным, наприсер nginx/haproxy и тп

Ingress подразумевает что сверху оно еще и балансером накрыто либо в dns указаны все ноды. Вот я и хочу сверху приделать лоадбалансер, но хочется чтоб куб умел им управлять. Я слышал про то что он умеет в гуглклауде и тп это делать, но хочется чтоб он управлял чем то более приземленным, наприсер nginx/haproxy и тп

ингресс эт и есть лоадбалансер, по сути херовина которая генерит нжинкс правила)

посмотри что за nginx правило генерится

а как и где это можно посомтреть?

заити в контеинер да глянуть

ребят подскажите, kube-proxy порт доступный из вне но этого порта нет в services и по этому порту можно перейти на /healthz что это такое и как сконфигурировать или убрать

ребят подскажите, kube-proxy порт доступный из вне но этого порта нет в services и по этому порту можно перейти на /healthz что это такое и как сконфигурировать или убрать

I'm just curious, is Russian your native language?

I'm just curious, is Russian your native language?

был когда то

да понятно, поэтому я и пытаюсь выяснить на каком языке лучше говорить. Потому что русский не совсем понятен.

я хорошо говорю по русски

да понятно, поэтому я и пытаюсь выяснить на каком языке лучше говорить. Потому что русский не совсем понятен.

так что, подскажешь откуда /healthz

да я не спорю, но знаки препинания в сообщениях не повредят

так что, подскажешь откуда /healthz

ну кинь манифест kube-proxy

Ingress подразумевает что сверху оно еще и балансером накрыто либо в dns указаны все ноды. Вот я и хочу сверху приделать лоадбалансер, но хочется чтоб куб умел им управлять. Я слышал про то что он умеет в гуглклауде и тп это делать, но хочется чтоб он управлял чем то более приземленным, наприсер nginx/haproxy и тп

https://github.com/kubernetes/contrib/tree/master/keepalived-vip

kube-proxy обычно имеет hostNetwork: true, вся конфигурация проходит на уровне аргументов

заити в контеинер да глянуть

Проверил конфиги нжинкса все в порядке. и при заходе на порт 31603 который генерится сервисом все работает

Проверил конфиги нжинкса все в порядке. и при заходе на порт 31603 который генерится сервисом все работает

так в чём вопрос-то?

так в чём вопрос-то?

nginx-ingress-icm LoadBalancer 10.101.147.36 <pending> 80:31603/TCP 48m icm-ingress icm.test,auth.icm.test 192.168.131.245 80 2m (192.168.131.245) в качестве внешнего айпи(хостоывый)

вопрос в том чтобы он слушал на 192.168.131.245 ip не 31604 порт а 80

так ответили уже вроде

порты с 30000 выделяются для service NodePort. самый простой способ забиндить ingress-nginx на 80,443 - запустить его с hostnetwork

либо поменять сам range в kube-apiserver флажком --service-node-port-range

все хзаработало. спасибо большое!

kube-proxy обычно имеет hostNetwork: true, вся конфигурация проходит на уровне аргументов

https://pastebin.com/rTxiN0Vv

hostNetwork: true

не, с gke не сталкивался

у них какой-то свой kube-proxy, либо просто в 1.8.x так стало много всего

у них какой-то свой kube-proxy, либо просто в 1.8.x так стало много всего

вот такая штука возвращается

и без понятия где менять значение

да я верю и даже уже ответил как убрать

так мне не надо убрать я хочу поменять

ребят подскажите, kube-proxy порт доступный из вне но этого порта нет в services и по этому порту можно перейти на /healthz что это такое и как сконфигурировать или убрать

> что это такое и как сконфигурировать или убрать » или убрать

можно форкнуть kube-proxy (думаю, что весь kubernetes придётся) и переконфигурировать как надо

можно форкнуть kube-proxy (думаю, что весь kubernetes придётся) и переконфигурировать как надо

так мне интересно кто и как и где размешает это /healthz потому что на каждом возвращаемое значение слегка разное

так мне интересно кто и как и где размешает это /healthz потому что на каждом возвращаемое значение слегка разное

https://github.com/kubernetes/kubernetes/blob/master/cmd/kube-proxy/app/server.go#L465

ингресс эт и есть лоадбалансер, по сути херовина которая генерит нжинкс правила)

ингресс слушает на разных ip на разных нодах. это по определению не подходит под LB

Ingress подразумевает что сверху оно еще и балансером накрыто либо в dns указаны все ноды. Вот я и хочу сверху приделать лоадбалансер, но хочется чтоб куб умел им управлять. Я слышал про то что он умеет в гуглклауде и тп это делать, но хочется чтоб он управлял чем то более приземленным, наприсер nginx/haproxy и тп

попробуйте metallb

ингресс слушает на разных ip на разных нодах. это по определению не подходит под LB

смотря с какой стороны посмотреть. Ингресс балансирует трафик внутри, а не снаружи

оно будет в статус ingress ресурса выдавать IP?

смотря с какой стороны посмотреть. Ингресс балансирует трафик внутри, а не снаружи

Ну тут понятно, с какой стороны спрашивающий смотрит, раз проводит аналогии с LB в облаке

ингресс слушает на разных ip на разных нодах. это по определению не подходит под LB

https://kubernetes.io/docs/concepts/services-networking/ingress/

первые две строчки почитай