All perguntas(server)

Olá e obrigado pelo seu tempo. Tentarei explicar qual é meu experimento. No kubernetes, tenho um aplicativo implantado. Posso acessá-lo com um balanceador de carga. E usando o traefik, posso acessá-lo via http. Gostaria de acessá-lo via Https. Para atingir esse resultado, estou tentando seguir os vídeos do YouTube e a documentação do traefik e usar o gerenciador de certificados. Gosto de trabalhar usando arquivos yml, mas se houver uma maneira melhor, por favor, me diga, pois estou aprendendo na prática. Postarei todos os arquivos yml teoricamente, esperando que o serverfault me ​​dê espaço suficiente para publicá-los.

#001-role.yml
        kind: ClusterRole
    apiVersion: rbac.authorization.k8s.io/v1
    metadata:
      name: traefik-role
    
    rules:
      - apiGroups:
          - ""
        resources:
          - services
          - secrets
          - nodes
        verbs:
          - get
          - list
          - watch
      - apiGroups:
          - discovery.k8s.io
        resources:
          - endpointslices
        verbs:
          - list
          - watch
      - apiGroups:
          - extensions
          - networking.k8s.io
        resources:
          - ingresses
          - ingressclasses
        verbs:
          - get
          - list
          - watch
      - apiGroups:
          - extensions
          - networking.k8s.io
        resources:
          - ingresses/status
        verbs:
          - update
      - apiGroups:
          - traefik.io
        resources:
          - middlewares
          - middlewaretcps
          - ingressroutes
          - traefikservices
          - ingressroutetcps
          - ingressrouteudps
          - tlsoptions
          - tlsstores
          - serverstransports
          - serverstransporttcps
        verbs:
          - get
          - list
          - watch

#002-account.yml
apiVersion: v1
kind: ServiceAccount
metadata:
  name: traefik-account

#003-role-binding.yml
kind: ClusterRoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: traefik-role-binding
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: traefik-role
subjects:
  - kind: ServiceAccount
    name: traefik-account
    namespace: default 

#004-traefik.yml
kind: Deployment
apiVersion: apps/v1
metadata:
  name: traefik-deployment
  labels:
    app: traefik

spec:
  replicas: 1
  selector:
    matchLabels:
      app: traefik
  template:
    metadata:
      labels:
        app: traefik
    spec:
      serviceAccountName: traefik-account
      containers:
        - name: traefik
          image: traefik:v3.2
          args:
            - --api.insecure
            - --providers.kubernetesingress
          ports:
            - name: web
              containerPort: 80
            - name: dashboard
              containerPort: 8080

#005-traefik-service.yml
apiVersion: v1
kind: Service
metadata:
  name: traefik-dashboard-service

spec:
  type: LoadBalancer
  ports:
    - port: 8080
      targetPort: dashboard
  selector:
    app: traefik
---
apiVersion: v1
kind: Service
metadata:
  name: traefik-web-service

spec:
  type: LoadBalancer
  ports:
    - targetPort: web
      port: 80
  selector:
    app: traefik

#006-program-frontend-deployment.yml
apiVersion: apps/v1
kind: Deployment
metadata:
  annotations:
    kompose.cmd: kompose convert -f compose.yml
    kompose.version: 1.34.0 (HEAD)
  labels:
    io.kompose.service: program-frontend
  name: program-frontend
spec:
  replicas: 1
  selector:
    matchLabels:
      io.kompose.service: program-frontend
  template:
    metadata:
      annotations:
        kompose.cmd: kompose convert -f compose.yml
        kompose.version: 1.34.0 (HEAD)
      labels:
        io.kompose.service: program-frontend
    spec:
      containers:
        - env:
            - name: API_GATEWAY_BASE_URL
              value: http://edge-thinghy:9000
          image: program-image
          name: program-frontend
          ports:
            -  name: program-frontend
               containerPort: 3000
               protocol: TCP
      imagePullSecrets:
        - name: ghcr-secret
      restartPolicy: Always

#007-program-frontend-service.yml
apiVersion: v1
kind: Service
metadata:
  annotations:
    kompose.cmd: kompose convert -f compose.yml
    kompose.version: 1.34.0 (HEAD)
  labels:
    io.kompose.service: program-frontend
  name: program-frontend
spec:
  ports:
    - name: program-frontend
      protocol: TCP
      port: 3000
      targetPort: program-frontend
  selector:
    io.kompose.service: program-frontend

#008-edit-program-service.yml
apiVersion: v1
kind: Service
metadata:
  name: program-frontend
spec:
  ports:
    - name: program-frontend
      port: 80
      targetPort: 3000
  selector:
    io.kompose.service: program-frontend

#009-program-ingress.yml
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: program-ingress
spec:
  rules:
  - http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: program-frontend
            port: 
              name: program-frontend

#010-challenge.yml
apiVersion: cert-manager.io/v1
kind: Issuer
metadata:
 name: program-challenge
 namespace: default
spec:
 acme:
   email: [email protected]
   server: https://acme-v02.api.letsencrypt.org/directory
   privateKeySecretRef:
     name: program-issuer-account-key
   solvers:
     - http01:
         ingress:
           class: traefik

#011-ingress-rule.yml
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
 name: program-ssl-ingress
 namespace: default
 annotations:
   cert-manager.io/issuer: "program-challenge"
spec:
 tls:
   - hosts:
       - program-demo.example.domain
     secretName: tls-program-ingress-http
 rules:
   - host: program-demo.example.domain
     http:
       paths:
         - path: /
           pathType: Prefix
           backend:
             service:
               name: program-frontend
               port:
                 name: program-frontend

#012-redirect-http-to-https.yml
apiVersion: traefik.io/v1alpha1
kind: Middleware
metadata:
  name: program-frontend-redirect
spec:
  redirectScheme:
    scheme: https
    permanent: true

Se entendi corretamente, nesse ponto eu deveria conseguir chegar a https://program-demo.example.domain, mas estou chegando apenas a http://program-demo.example.domain, eu li errado alguma coisa na documentação? Há algo errado no meu raciocínio? Agradeço antecipadamente pelo seu tempo.

No Powershell parece que a lista de parâmetros para uma função é um construtor de array, mas às vezes () é permitido e às vezes não, por exemplo ao chamar a função sobrecarregada getHashCode(). Alguém pode explicar o que está acontecendo com isso?

Aqui está uma função simples e os resultados curiosos:

function onBattery {
>>     if ((Get-WmiObject -Class Win32_Battery | Select-Object -ExpandProperty batterystatus) -eq 2) {
>>         write-output "Plugged In"
>>     }
>>     else {
>>         write-output "On Battery"
>>     }
>> }
PS C:\tmp>
PS C:\tmp> (onBattery).getHashCode

OverloadDefinitions
-------------------
int GetHashCode()



PS C:\tmp> (onBattery).getHashCode()
62670595
PS C:\tmp> onBattery($null)
Plugged In
PS C:\tmp> onBattery ($null)($null)
Plugged In
PS C:\tmp> onBattery()
At line:1 char:11
+ onBattery()
+           ~
An expression was expected after '('.
    + CategoryInfo          : ParserError: (:) [], ParentContainsErrorRecordException
    + FullyQualifiedErrorId : ExpectedExpression

Além disso, por curiosidade, o que seria necessário para fazer com que uma função PS pudesse ser chamada por meio de um conjunto vazio de parênteses como este: onBattery()?

Em um ambiente de cluster kubernetes, tenho o Traefik v3.2.1 e o CertManager 1.16.1 e um programa que estou testando. Quando tento aplicar este arquivo: 022-red-ing.yml, recebo este erro:

error: error validating "022-red-ing.yml": error validating data: [apiVersion not set, kind not set]; if you choose to ignore these errors, turn validation off with --validate=false

Gostaria de definir o arquivo corretamente, mas faltam informações, pois a documentação de onde copiei não informa a apiVersion e o tipo.

O arquivo está atualmente assim:

gato 022-vermelho-ing.yml

   apiVersion: networking.k8s.io/v1
    kind: Ingress
    spec:
      selector:
        istio: ingressgateway
      servers:
      - hosts:
        - program.example.domain
        port:
          name: https
          number: 443
          protocol: HTTPS
        tls:
          credentialName: tls-program-ingress-http
          mode: SIMPLE
      - hosts:
        - program.example.domain
        port:
          name: program-frontend
          number: 80
          protocol: HTTP
        tls:
          httpsRedirect: true
      - hosts:
        - '*'
        port:
          name: http
          number: 80
          protocol: HTTP

qual apiVersion e tipo devo definir? Se eu prefixar este código:

apiVersion: extensions/v1beta1
kind: Ingress

Recebo outro erro agora quando faço isso:

kubectl aplicar -f 022-red-ing.yml

Eu entendo

error: error when retrieving current configuration of:
Resource: "networking.k8s.io/v1, Resource=ingresses", GroupVersionKind: "networking.k8s.io/v1, Kind=Ingress"
Name: "", Namespace: "default"
from server for: "022-red-ing.yml": resource name may not be empty

Estou fazendo algo errado.

Preciso executar um script que requer privilégios de administrador para modificar a parte HKLM do registro e arquivos/pastas do sistema.

Mas também preciso interagir com a parte HKCU do registro.

O script deve ser executado a partir de uma conta regular. Há uma conta administrativa separada para ações privilegiadas.

Usar a conta de administrador não tem o mesmo acesso ao registro de usuário regular e à pasta de perfil.

Existe uma maneira de iniciar um prompt de comando elevado usando um usuário comum, fornecendo credenciais de administrador, mas mantendo o ambiente de usuário comum?

Obrigado

Recentemente, fiz algum gerenciamento de cabos (incluindo ethernet). Depois que terminei, descobri que nenhuma das minhas unidades Synology NAS conseguiu se reconectar ao Active Directory no meu servidor de domínio. Para ser exato, elas se reconectavam intermitentemente, mas desconectavam quase todas as outras vezes que eu verificava. Mexer na configuração de domínio no NAS não fez diferença.

Voltando, a única coisa diferente é que instalei as atualizações recentes do servidor antes de desligá-lo para gerenciamento de cabos:

1. Atualização cumulativa de 2024-11 para Windows Server 2016 para sistemas baseados em x64 (KB5046612)
2. Atualização de segurança para SQL Server 2017 RTM GDR (KB5046857)
3. Atualização da pilha de manutenção 2024-09 para Windows Server 2016 para sistemas baseados em x64 (KB5043124)

Tentei reverter desinstalando as atualizações, mas não faz diferença. Após solucionar problemas nos últimos dias, notei algo que não tinha notado antes. A porta Ethernet no Controlador de Domínio tem o NetBIOS sobre TCP/IP desabilitado. A pesquisa diz que o NetBIOS é necessário para que o SMB funcione, o que faz sentido por que as unidades Synology NAS não conseguem se reconectar corretamente se não conseguem fazer o SMB funcionar de forma confiável. (Observe que desabilitei o SMB 1.0 há muito tempo por motivos de segurança e desempenho, e ele funcionou sem problemas quando o SMB 1.0 foi desabilitado.)

No entanto, não consigo descobrir como habilitar o NetBIOS sobre TCP/IP. Não é possível para porta ethernet, vEthernet (Virtual Switch) ?

O que eu tentei:

1. Alterando a configuração na guia WINS da configuração IPv4 de Padrão para Habilitar NetBIOS sobre TCP/IP com IPv6 desabilitado.
2. Edite o registro em HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters para todas as interfaces que vi para o valor da chave NetbiosOptions de 0 a 1 .

Pensando que poderia ser um bug do Windows, instalei a atualização mais recente, mas ela ainda está desabilitada: Atualização cumulativa 2024-12 para Windows Server 2016 para sistemas baseados em x64 (KB5048671)

Este erro aparece em um arquivo de log (levemente formatado para facilitar a leitura):

StatusCode: 400 : Bad Request : {
  schema :[ urn:ietf:params:scim:api:messages:2.0:Error ]
  schemas :[ urn:ietf:params:scim:api:messages:2.0:Error ]
  detail : 1 validation error detected:
  Value at 'phoneNumbers.1.value' failed to satisfy constraint:
  Member must satisfy regular expression pattern:
  [\\p{L}\\p{M}\\p{S}\\p{N}\\p{P}\\t\\n\\r  　]+
}

É provável que isso ocorra devido a um número de telefone neste formato:

+1 (212) 555-1212

Em vez de um destes formatos:

12125551212
+1.212.555.1212

Como interpretar essa regex para confirmar isso?

Se você tiver um minuto, estou um pouco confuso sobre como lidar com o aviso rDNS para e-mails de saída. Tenho esta configuração...

http web server (ip 1.2.3.4, hostname apps.acme.com)
smtp mail server (ip 1.2.3.5, hostname mail.acme.com)

DNS A record (Domain name = acme.com, ip = 1.2.3.4) --> web server
PTR record (Domain name = acme.com, ip = 1.2.3.5) --> smtp server

O servidor smtp só envia e-mails, sem entradas, sem registro MX, etc.

No entanto, quando verifico a pontuação de reputação de e-mail, vejo o aviso rDNS e descobri que os registros PTR devem ter um registro A correspondente (forward-confirmed). No entanto, se eu criar um segundo registro DNS A para o servidor smtp...

DNS A record (Domain name = acme.com, ip = 1.2.3.5) --> smtp server

Isso não significa que o servidor autoritativo direcionará algum tráfego de resolução de DNS acme.com para o servidor smtp? Muito obrigado por ler isso.

Estou executando um cluster kubernetes e tenho um TestApplication que roda no TestPort (3000 na verdade). Consegui colocar o Traefik v3.2.1 em funcionamento e o CertManager 1.16.1 com desafio http para letsencrypt em funcionamento. Gostaria de proteger o TestApplication fazendo com que as pessoas passem pela porta 443 do TraefiK e cheguem ao TestApplication:TestPort. Como crio um recurso Ingress apropriado para meu aplicativo? até agora eu fiz:

 #001-app-deployment.yml
    apiVersion: apps/v1
kind: Deployment
metadata:
  annotations:
    kompose.cmd: kompose convert -f compose.yml
    kompose.version: 1.34.0 (HEAD)
  labels:
    io.kompose.service: app-frontend
  name: app-frontend
spec:
  replicas: 1
  selector:
    matchLabels:
      io.kompose.service: app-frontend
  template:
    metadata:
      annotations:
        kompose.cmd: kompose convert -f compose.yml
        kompose.version: 1.34.0 (HEAD)
      labels:
        io.kompose.service: app-frontend
    spec:
      containers:
        - env:
            - name: API_GATEWAY_BASE_URL
              value: http://edge-thinghy:9000
          image: my-image-I-test
          name: app-frontend
          ports:
            -  name: app-frontend
               containerPort: 3000
               protocol: TCP
      imagePullSecrets:
        - name: ghcr-secret
      restartPolicy: Always

#010-app-service.yml
        apiVersion: v1
    kind: Service
    metadata:
      name: app-frontend
    
    spec:
      ports:
        - name: app-frontend
          port: 80
          targetPort: 3000
    
      selector:
        app: app-frontend
    
    #011-app-ingress.yml
    
    apiVersion: networking.k8s.io/v1
    kind: Ingress
    metadata:
      name: app-ingress
    spec:
      rules:
      - http:
          paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: app-frontend
                port: 
                  name: app-frontend
    
    #012-challenge.yml

    apiVersion: cert-manager.io/v1
    kind: Issuer
    metadata:
     name: app-challenge
     namespace: default
    spec:
     acme:
       email: [email protected]
       server: https://acme-v02.api.letsencrypt.org/directory
       privateKeySecretRef:
          name: app-issuer-account-key
       solvers:
         - http01:
             ingress:
               class: traefik
    
    #013-ingress-rule.yml
    
    apiVersion: networking.k8s.io/v1
    kind: Ingress
    metadata:
     name: app-ssl-ingress
     namespace: default
     annotations:
       cert-manager.io/issuer: "app-challenge"
    spec:
     tls:
       - hosts:
           - app.domain.example
         secretName: tls-app-ingress-http
     rules:
       - host: app.domain.example
         http:
           paths:
             - path: /
               pathType: Prefix
               backend:
                 service:
                   name: app-frontend
                   port:
                     name: app-frontend

Como os certificados foram emitidos, eu esperava que o Traefik funcionasse automaticamente, mas o tempo limite é atingido quando vou para https://app.domain.example . Acho que estou fazendo algo errado. Se eu abrir os logs do pod do traefik, posso ver:

    ERR Skipping service: no endpoints found ingress=app-ingress namespace=default providerName=kubernetes serviceName=app-frontend servicePort=&ServiceBackendPort{Name:app-frontend,Number:0,}
    ERR Skipping service: no endpoints found ingress=app-ssl-ingress namespace=default providerName=kubernetes serviceName=app-frontend servicePort=&ServiceBackendPort{Name:app-frontend,Number:0,}

Eu posso, embora, chegar a http://app.domain.example, mas não a https se eu fizer isso

    kubectl get ingress
NAME               CLASS     HOSTS              ADDRESS   PORTS 
app-ingress       traefik   *                            80     
app-ssl-ingress   traefik   app.domain.example           80, 443

Tenho um cluster kubernetes em execução e gostaria de expor um serviço. Tenho um TestApplication que é executado na porta TestPort 3000. Como configuro o Traefik para atuar como um provedor de entrada? na documentação, não entendi onde devo especificar

providers:
  kubernetesIngress: {}

fonte: https://doc.traefik.io/traefik/providers/kubernetes-ingress/

Isso é suficiente para especificar que ele precisa atuar como uma entrada do Kubernetes?

    kind: Deployment
apiVersion: apps/v1
metadata:
  name: traefik-deployment
  labels:
    app: traefik

spec:
  replicas: 1
  selector:
    matchLabels:
      app: traefik
  template:
    metadata:
      labels:
        app: traefik
    spec:
      serviceAccountName: traefik-account
      containers:
        - name: traefik
          image: traefik:v3.2
          args:
            - --api.insecure
            - --providers.kubernetesingress
          ports:
            - name: web
              containerPort: 80
            - name: dashboard
              containerPort: 8080

Tenho um servidor rsyslog configurado para aceitar mensagens remotas de cerca de ~400 servidores, no entanto, parece que quando o servidor obtém cerca de ~256 conexões, ele para de aceitar novas conexões e os clientes veem mensagens de erro como a seguinte

cannot connect to syslog.example.org:514: Connection timed out

O módulo rsyslog imtcp é configurado da seguinte forma

module(load="imtcp"
          MaxSessions="1000"
          StreamDriver.Mode="1"
          StreamDriver.AuthMode="anon"
          StreamDriver.Name="gtls"

)

a unidade systemd também está configurada com LimitNOFILE=16384e quando eu verifico /proc/$pid/limitsvejo que o número de limites parece bom

$ /proc/2767537# cat limits
Limit                     Soft Limit           Hard Limit           Units
Max cpu time              unlimited            unlimited            seconds
Max file size             unlimited            unlimited            bytes
Max data size             unlimited            unlimited            bytes
Max stack size            8388608              unlimited            bytes
Max core file size        0                    unlimited            bytes
Max resident set          unlimited            unlimited            bytes
Max processes             7393                 7393                 processes
Max open files            16384                16384                files
Max locked memory         65536                65536                bytes
Max address space         unlimited            unlimited            bytes
Max file locks            unlimited            unlimited            locks
Max pending signals       7393                 7393                 signals
Max msgqueue size         819200               819200               bytes
Max nice priority         0                    0
Max realtime priority     0                    0
Max realtime timeout      unlimited            unlimited            us

no entanto, quando começo a ver esse erro, o número de arquivos /proc/$pid/fdestá próximo de 256.

/proc/2767537$ ls -l fd | wc -l
253

Além disso, as conexões estabelecidas sempre ficam próximas de 256

$ ss -ntp4 state established sport eq 514 | wc -l
257

isso me sugere que há algum outro limite de 256 que preciso ajustar, mas não consigo descobrir qual/onde.

• Não consigo ver nenhum erro nos logs do servidor syslog
• usando tcpdump posso ver o pacote syn chegando na porta 514 mas nenhum sys/ack é enviado