Ты хочешь, чтобы Ансибл полностью управлял файрволом?

ну вообще он может, в случае с мерзким Firewalld

ну вообще он может, в случае с мерзким Firewalld

Ниче он не мерзкий, а вполне годный менеджер

повтори это, когда он будет тебе всегда на интерфейс выставлять зону паблик. Ни правка ifcfg, ни nmcli не помогут. А также когда он ОПЯТЬ упадёт и вам на уже открытый 5060 прольют трафа на 100к+. И да, это из моего опыта.

повтори это, когда он будет тебе всегда на интерфейс выставлять зону паблик. Ни правка ifcfg, ни nmcli не помогут. А также когда он ОПЯТЬ упадёт и вам на уже открытый 5060 прольют трафа на 100к+. И да, это из моего опыта.

Ну да, я прост пытаюсь сообразить, что именно @zh_erzh хочет получить в результате

Как его падением меняет насртйоку iptables если правила уже вгружнеы?

ну смотри. банальная вроде задача Есть инвентори на N-хостов Запускаем плейбук, который модулем firewalld разрешает между ними трафик. Все вроде ок, да? Завтра 1 или несколько хостов удаляются навсегда. Запускаем плейбук - правила, содержащие адреса удаленных серверов все равно остаются. А надо чтоб удалялись

ну смотри. банальная вроде задача Есть инвентори на N-хостов Запускаем плейбук, который модулем firewalld разрешает между ними трафик. Все вроде ок, да? Завтра 1 или несколько хостов удаляются навсегда. Запускаем плейбук - правила, содержащие адреса удаленных серверов все равно остаются. А надо чтоб удалялись

Вообще, если ИМХО, то firewall должен быть выделенным. Или вообще облачным, как в Амазоне

Вообще, если ИМХО, то firewall должен быть выделенным. Или вообще облачным, как в Амазоне

да большая серверов в DO и там нет этого гемороя. А вот с хетзнеровским говном приходится вот так мучится

Ну и да, фактически нужно писать таски на удаление тоже

ну смотри. банальная вроде задача Есть инвентори на N-хостов Запускаем плейбук, который модулем firewalld разрешает между ними трафик. Все вроде ок, да? Завтра 1 или несколько хостов удаляются навсегда. Запускаем плейбук - правила, содержащие адреса удаленных серверов все равно остаются. А надо чтоб удалялись

лучше всего - железкой, и через cli рулиться

Не, железка плохо масштабируется и интегрируется

Жаль( спасибо

железка шикарно масштабируется заменой на более мощную. Резервирование оставим в стороне.

Я размышлял об этом на досуге, ничего прям "искаробочного" нет. То есть в итоге придётся пилить что-то вроде хранимого хзгде стейта.

Я размышлял об этом на досуге, ничего прям "искаробочного" нет. То есть в итоге придётся пилить что-то вроде хранимого хзгде стейта.

Я размышлял об этом на досуге, ничего прям "искаробочного" нет. То есть в итоге придётся пилить что-то вроде хранимого хзгде стейта.

Ага, на лету без остановки сервиса

Т.е. ничего не менять на инфре после ввода в сервис

перейти на TF?

В этом чате оффтоп, я думаю. А применительно к ансиблу, скорее всего, если не хранить стейт, то можно сделать что-то более-менее универсальное для простейших случаев - вот типа "вызывали модуль files, запомнили, что здесь лежат файлы". Но получается дурная бесконечность "нужно описать все места, где мы что-то конфигурируем Ансиблом".

на железе не работает, только для амазона и компании, там да, так и нужно

Так железные сервера в большинстве задач как раз и не используют по этой причине. Их невозможно нормально гибко деплоить и масштабировать

В этом чате оффтоп, я думаю. А применительно к ансиблу, скорее всего, если не хранить стейт, то можно сделать что-то более-менее универсальное для простейших случаев - вот типа "вызывали модуль files, запомнили, что здесь лежат файлы". Но получается дурная бесконечность "нужно описать все места, где мы что-то конфигурируем Ансиблом".

Поэтому сейчас все, кто могут, и переезжают в облака

private cloud )

хост-ноду типовой настройкой тоже легко

а я пока cloudformation осваиваю..

например?

А простые энвы в Амазоне можно теми же модулями ансибла разворачивать и настраивать. Они вполне идемпотентны

тут одним, тут другим... где единообразие?

Близкое к идеалу сочетание - это когда терраформ разворачивает всю инфру в клауде, а внутренности инстансов провиженятся ансиблом. Тем же пакером, например

про метрики ещё не хватает