firewall в kubespray? Я про открытие портов
У ранчера нашёл интересную доку, можно было бы взять за пример для открытия необходимых портов:
https://rancher.com/docs/rancher/v2.x/en/installation/resources/advanced/firewall/
не было.
а как ты вообще относишься к подобному?
systemctl disable --now firewalld
А чего так категорично? Разве не интересно разобраться с правилами, и установить нужные?
ОРУ
нет, кубер тебе все сломает, норм посоны это либо отдают на уровень силиума - пускай он хосты защищает, либо на уровень инфры
ппц разорался, соседских детей разбудил
так никто не спит
Не проверял, но как по мне firewalld получится не очень. Кубовые правила iptables генерируются динамически, и причем делают это в обход firewalld. Как минимум на мой взгляд это приведет к неразберихе
неразбериха точно будет )
если у тебя калико то через kind: HostEndpoint нормально рулить. а фаервол системный отключить, да
Калико только начал изучать, т.к он на мой взгляд, самый популярный CNI. Рулили у себя таким методом?
да. я доволен. полиси накидал нужные, и потом при добавлении новой ноды всё само раскатывается
С калико правила всё ок работают. Но учти только, что если применишь правила дени, в калико не разорвутся сессии попадающие под жто правило. Ого запретит только "new". С силиумом такого нюанса не будет
А ты и то, и то юзал? Есть опыт реальной эксплуатации силиума?
сыроват на мой взгляд. Сталкиваюсь с проблемами периодически, обкладываю костылями
тестишь из сугубо спортивного интереса, или есть какие-то причины перейти на него? в проде калику юзаешь?
в проде kube-router. Есть желание на cilium перейти, нравится что не iptables, нравится конецпт с identity. То есть он назначает уникальный идентификатор на приложения, и он не меняется, если не меняются те части, которые его уникально идентифицируют. И когда например реплика в деплойменте увеличивается и поднимается новый pod на какой-то ноде, нет никаких задержек пока cni приведет правила iptables на этой ноде в соотвествии с политиками, cilium уже знает под какие правила подпадает этот pod благодаря уже известеному уникальному идентификатору и правила уже сразу работают. Также ebpf по шустрее робит
Обсуждают сегодня