169 похожих чатов

Скажите мне лучше, как нынче принято дружить докер/подман, которые лазят

в iptables и обычный iptables-persistent?

20 ответов

8 просмотров
Sergei-Puzyrev Автор вопроса

podman это рантайм контейнеров, который работает в том числе и на убунте. он (как и докер) трогает iptables. iptables-persistent (как и firewalld) тоже трогают iptables. и systemd тоже трогает iptables. проблема в том что дружба iptables-persistent с контейнерными рантаймами не очень хорошая, потому что iptables-persistent сносит нахуй всё что создаёт докер/подман.

Sergei-Puzyrev Автор вопроса

Дмитрий, попробуйте не объяснять мне как отключить firewalld, а ответить на вопрос, как кастомные правила фаервола корректно и, ммм, "чисто" принято дружить в современной девопсне.

Sergei-Puzyrev Автор вопроса
Sergei Puzyrev
Дмитрий, попробуйте не объяснять мне как отключить...

Докер же ничего не меняет, просто добавляет правила

Sergei-Puzyrev Автор вопроса
Oleksandr
Докер же ничего не меняет, просто добавляет правил...

iptables-persistent меняет. фактически он перезатирает существующие правила сохранёнными.

Sergei-Puzyrev Автор вопроса
Oleksandr
Так он раньше докера стартует

это так себе поинт, учитывая что докер может стартовать и рестартовать, как и всё остальное. очередность сервисов на загрузке - тоже так себе тема. если правила завязаны на интерфейсы и/или подсети, подключенные напрямую - это тоже так себе работает. цепочки будут очищаться.

Sergei Puzyrev
это так себе поинт, учитывая что докер может старт...

Ну и пусть рестартует? Твои правила в цепочке всё равно раньше будут

Sergei-Puzyrev Автор вопроса
Oleksandr
Ну и пусть рестартует? Твои правила в цепочке всё ...

смотри, докер в процессе своего жизненного цикла трогает правила и контролирует их. iptables-persistent делает это один раз. тупо выгружает поток правил в ядро и заканчивает на этом жизнь.

Ща модно не трогать iptables

Sergei-Puzyrev Автор вопроса
Евгений Омельченко
Ща модно не трогать iptables

ну вот смотри, у меня шлюз на люнексе, в нем нат для ipv4 и немного портфорвардинга. куда это класть?

Sergei-Puzyrev Автор вопроса
Sergei Puzyrev
ну вот смотри, у меня шлюз на люнексе, в нем нат д...

Я имею в виду контейнерным рантаймом ты зачем iptables трогаешь? Возьми containerd и cilium вместо cni

Sergei-Puzyrev Автор вопроса
Евгений Омельченко
Я имею в виду контейнерным рантаймом ты зачем ipta...

у меня очень маленькое и лёгкое решение, локальный подман без всяких кластеров.

Sergei-Puzyrev Автор вопроса
Евгений Омельченко
И?

ты предлагаешь оторвать у него его стандартный CNI и присобачить к нему cilium?

Sergei Puzyrev
Дмитрий, попробуйте не объяснять мне как отключить...

Могу посоветовать костыль: вместо iptables-persistent заюзать ferm (макропроцессор над iptables), конвертнув в него правила, а затем указать ему, чтобы он не трогал определённые цепочки.

Sergei-Puzyrev Автор вопроса

Похожие вопросы

Обсуждают сегодня

Сообщение* в закодированном виде. То есть, просто сделать sendMessage?text=Привет бла-бла! не получится, надо в HEX переводить, и добавлять процент, типа такого: sendMessage?t...
КТ315
21
А случайно нет ли в паскале штатной возможности передать указатель и количество туда где array of в качестве аргумента?
zamtmn
25
Всем привет. Испытываю проблемы в работе БД, а именно огромного роста логов, такого характера: 024-05-16 18:39:07 +05 sentry sentry [unknown] 1050169 7-1 app-sentry01.corp.ru>...
Alexey
2
Anyone here suffers from unexplained aural migraines, who would be up for talking for a bit? Doesn't *have* to be aural, but I am not asking about headaches, I mean actual mi...
Martin Rys
58
Хм. А телеграм апи работают через HTTP?
The Bird of Hermes
14
Почему Telegram пишет, что объект media не найден, хотя на самом деле я его передаю? Делаю на urllib, без зависимостей, так надо. Вызываю метод sendMediaGroup с таким JSON: ...
Alexey S
1
Ну раз я пока тут, задам пару глупых вопросов. Зачем писать на ассемблере если компилятор довольно умный, а ассемблер много времени занимает? В каких прикладных задачах сейчас...
Максим Рябцев
20
В дельфе нет никакого коробочного (без установки третьих либ) способа получить CallStack с расшифровкой отладочных символов?
notme
7
Я тут за тем, чтобы задать вопрос, так как не знаю ассемблер, учу с/с++. Короче, насколько дорога операция перехода в функцию при ее вызове? Дело в том, что в с++ есть макросы...
Максим Рябцев
12
Привет, нужен совет старших товарищей. Есть глобальная переменная var DefaultDataFolder:string; инициализируем DefaultDataFolder:='a:\_OUT\'; есть примитивная процедур...
Max Otto
14
Карта сайта