Телеграмм чат группы kubernetes

2020 February 26

PK

Pavel Kolobaev in Kubernetes — русскоговорящее сообщество

переписать прилоджение чтобы на объекты удалялись ссылки после использования.

источник

14:04пожаловаться #1

AK

Andrey Kartashov in Kubernetes — русскоговорящее сообщество

Slach

как пара часов...

еще раз
есть pod 1
и на него еще service навешан
я из pod 2
пытаюсь законектиться на pod1 используя DNS имя service
а при входящем коннекте на pod2 пытаюсь сделать обратный resolve на source IP
и походу отрезолвливаю что то не то

(этот чудесный алгоритм нужен для clickhouse host_regexp https://clickhouse.tech/docs/en/operations/settings/settings_users/#user-name-networks)

не будет работать, у тебя sourceip из приватной сетки

источник

14:04пожаловаться #2

DZ

Dzmitry Zimin in Kubernetes — русскоговорящее сообщество

Pavel Kolobaev

переписать прилоджение чтобы на объекты удалялись ссылки после использования.

понятно, спасибо

источник

14:06пожаловаться #3

A

Alexander in Kubernetes — русскоговорящее сообщество

Let Eat Bee

Там vxlan для L3 сетей, но до tcpdump тянуться вряд ли придется - все самое интересное и сложное происходит до этого , но у них неплохой инструментарий для дебага : https://cilium.readthedocs.io/en/stable/troubleshooting/#admin-guide

А зачем в l3-сетях vxlan для кубера?

источник

14:07пожаловаться #4

LB

Let Eat Bee in Kubernetes — русскоговорящее сообщество

kvaps

а, вот чем

Ну эти дебажат только родные ебпф. Если придёт кто-то ещё , навесит своих eBPF и все похерит, то увидеть это будет сложно . Наверняка в bcc каком-нибудь есть тулинг чтобы увидеть какие eBPF куда навешаны, но надо изучать/осваивать. Через 10 лет все будет на eBPF, так что можно начинать сейчас :)

источник

14:07пожаловаться #5

LB

Let Eat Bee in Kubernetes — русскоговорящее сообщество

Alexander

А зачем в l3-сетях vxlan для кубера?

Чтобы ИП подов протаскивать в пакетах между нодами

источник

14:07пожаловаться #6

A

Alexander in Kubernetes — русскоговорящее сообщество

Let Eat Bee

Чтобы ИП подов протаскивать в пакетах между нодами

Эээ... а в чем проблема делать это без vxlan?

источник

14:08пожаловаться #7

DS

Dmitry Sergeev in Kubernetes — русскоговорящее сообщество

Slach

всем привет
а какой временной лаг между изменением состояния кластера в etcd
и тем как обновляется DNS внутри кластера?

kubectl get pods
показывает что Pod есть и в состоянии running
но kubectl exec из другого пода nslookup не может отрезолвить

ты делаешь exec на под? Там резолва DNS вообще нет. А kubectl exec на сервис делать нельзя. Увидел сообщение ниже, уже понял что нужно другое. (это не актуально)

источник

14:09пожаловаться #8

LB

Let Eat Bee in Kubernetes — русскоговорящее сообщество

Andrey Kartashov

#helmбажноеговно
если я в нескольких манифестах добавляю кастомный ключ в scope, он перезаписывается.

a_file.yaml

{{- with (merge . (dict "bbcomponent" "afile")) }}
test: {{ .bbcomponent }}
{{- end }}

z_file.yaml

{{- with (merge . (dict "bbcomponent" "zfile")) }}
test: {{ .bbcomponent }}
{{- end }}

оба файла при рендере выдадут одинаковый test: zfile

Да, template context один на все чарты и субчарты. Жопно, согласен. Из-за этого никакой чарт не может свой template притащить и быть уверенным , то его кто-нибудь другой не перезатрет

источник

14:10пожаловаться #9

A

Alexander in Kubernetes — русскоговорящее сообщество

🇷🇺Dmitry🇮🇪🇩🇪

кто-нибудь имел дело с SAML аутентификацией? нужно воткнуть прокси что бы он аутентифицироваться в ажур через самл мог

При чем тут кубернетес?

источник

14:10пожаловаться #10

LB

Let Eat Bee in Kubernetes — русскоговорящее сообщество

Alexander

Эээ... а в чем проблема делать это без vxlan?

? L2 нужен же если без туннелирования

источник

14:10пожаловаться #11

🇷

🇷🇺Dmitry🇮🇪🇩🇪... in Kubernetes — русскоговорящее сообщество

Alexander

При чем тут кубернетес?

Да особо не при чем. Потом в него надо будет это все завернуть.

источник

14:10пожаловаться #12

A

Alexander in Kubernetes — русскоговорящее сообщество

Let Eat Bee

? L2 нужен же если без туннелирования

Кто-то в кубере крутит софт, которомы жизненно важны броадкасты/мультикасты?

источник

14:11пожаловаться #13

DS

Dmitry Sergeev in Kubernetes — русскоговорящее сообщество

Slach

как пара часов...

еще раз
есть pod 1
и на него еще service навешан
я из pod 2
пытаюсь законектиться на pod1 используя DNS имя service
а при входящем коннекте на pod2 пытаюсь сделать обратный resolve на source IP
и походу отрезолвливаю что то не то

(этот чудесный алгоритм нужен для clickhouse host_regexp https://clickhouse.tech/docs/en/operations/settings/settings_users/#user-name-networks)

обратного резолва нет. Для этого PTR нужны, а coredns их не делает

источник

14:11пожаловаться #14

LB

Let Eat Bee in Kubernetes — русскоговорящее сообщество

Alexander

Кто-то в кубере крутит софт, которомы жизненно важны броадкасты/мультикасты?

Кто то крутит куб в сетях , где нету L2 между нодами

источник

14:12пожаловаться #15

A

Alexander in Kubernetes — русскоговорящее сообщество

Let Eat Bee

Кто то крутит куб в сетях , где нету L2 между нодами

Это да, но зачем там l2 связность между подами?

источник

14:12пожаловаться #16

DS

Dmitry Sergeev in Kubernetes — русскоговорящее сообщество

Slach

как пара часов...

еще раз
есть pod 1
и на него еще service навешан
я из pod 2
пытаюсь законектиться на pod1 используя DNS имя service
а при входящем коннекте на pod2 пытаюсь сделать обратный resolve на source IP
и походу отрезолвливаю что то не то

(этот чудесный алгоритм нужен для clickhouse host_regexp https://clickhouse.tech/docs/en/operations/settings/settings_users/#user-name-networks)

> (этот чудесный алгоритм нужен для clickhouse host_regexp https://clickhouse.tech/docs/en/operations/settings/settings_users/#user-name-networks)

Откажись от этого, разреши ото всюду, но с паролем. А сетевым доступом рули через netpolicy в кластере

источник

14:13пожаловаться #17

S

Slach in Kubernetes — русскоговорящее сообщество

Dmitry Sergeev

> (этот чудесный алгоритм нужен для clickhouse host_regexp https://clickhouse.tech/docs/en/operations/settings/settings_users/#user-name-networks)

Откажись от этого, разреши ото всюду, но с паролем. А сетевым доступом рули через netpolicy в кластере

не могу 😞 к сожалению, про net policy не знали когда clickhouse-operator делали

источник

14:15пожаловаться #18

DS

Dmitry Sergeev in Kubernetes — русскоговорящее сообщество

Slach

не могу 😞 к сожалению, про net policy не знали когда clickhouse-operator делали

https://operatorhub.io/operator/clickhouse - этот?

https://github.com/Altinity/clickhouse-operator/blob/master/docs/custom_resource_explained.md
Там же можно профили настроить и поле networks есть, то есть он просто прокидывает эти xml в clickhouse. Должно работать

Это

test/networks/ip:
        - "127.0.0.1"
        - "::/0"

Трансформируется в xml в конфиги для clickhouse:

<users>
        <test>
          <networks>
            <ip>127.0.0.1</ip>
            <ip>::/0</ip>
          </networks>
        </test>
     </users>

GitHub

Altinity/clickhouse-operator

The ClickHouse Operator creates, configures and manages ClickHouse clusters running on Kubernetes - Altinity/clickhouse-operator

источник

14:18пожаловаться #19

LB

Let Eat Bee in Kubernetes — русскоговорящее сообщество

Alexander

Это да, но зачем там l2 связность между подами?

L2 между подами идёт бонусом. Vxlan просто стандартный туннель не лучше не хуже других

источник

14:20пожаловаться #20