Início / user-90115

Korjavin Ivan's questions

Martin Hope
Korjavin Ivan
Asked: 2019-04-24 00:04:12 +0800 CST
  • 2

Eu tenho um novo cluster k8s no gke.

Sempre que eu corro kubectl top node gke-data-custom-vm-6-25-0cbae9b9-hrkc eu recebo

Error from server (NotFound): the server could not find the requested resource (get services http:heapster:)

Ao mesmo tempo, tenho este serviço:

> kubectl -n kube-system get services
NAME                   TYPE        CLUSTER-IP      EXTERNAL-IP   PORT(S)         AGE
default-http-backend   NodePort    10.11.241.20    <none>        80:32688/TCP    59d
heapster               ClusterIP   10.11.245.182   <none>        80/TCP          59d
kube-dns               ClusterIP   10.11.240.10    <none>        53/UDP,53/TCP   59d
metrics-server         ClusterIP   10.11.249.26    <none>        443/TCP         59d

e um pod com heapster está em execução (e posso ver que foi reiniciado muitas vezes)

 kubectl -n kube-system get pods
NAME                                               READY     STATUS    RESTARTS   AGE
event-exporter-v0.2.3-85644fcdf-kwd6g              2/2       Running   0          16d
fluentd-gcp-scaler-8b674f786-dbrcr                 1/1       Running   0          16d
fluentd-gcp-v3.2.0-2fqgl                           2/2       Running   0          17d
fluentd-gcp-v3.2.0-47586                           2/2       Running   0          17d
fluentd-gcp-v3.2.0-552xm                           2/2       Running   0          16d
heapster-v1.6.0-beta.1-fdc7fd478-8s998             3/3       Running   73         16d

No entanto, posso ver nos logs do contêiner heapster-nanny alguns erros:

> kubectl logs -n kube-system --tail 10 -f po/heapster-v1.6.0-beta.1-fdc7fd478-8s998 -c heapster-nanny
ERROR: logging before flag.Parse: E0418 23:30:10.075539       1 nanny_lib.go:95] Error while querying apiserver for resources: Get https://10.11.240.1:443/api/v1/namespaces/kube-system/pods/heapster-v1.6.0-beta.1-fdc7fd478-8s998: dial tcp 10.11.240.1:443: getsockopt: connection refused
ERROR: logging before flag.Parse: E0418 23:30:10.971230       1 reflector.go:205] k8s.io/autoscaler/addon-resizer/nanny/kubernetes_client.go:107: Failed to list *v1.Node: Get https://10.11.240.1:443/api/v1/nodes?resourceVersion=0: dial tcp 10.11.240.1:443: getsockopt: connection refused
ERROR: logging before flag.Parse: E0418 23:30:11.972337       1 reflector.go:205] k8s.io/autoscaler/addon-resizer/nanny/kubernetes_client.go:107: Failed to list *v1.Node: Get https://10.11.240.1:443/api/v1/nodes?resourceVersion=0: dial tcp 10.11.240.1:443: getsockopt: connection refused
ERROR: logging before flag.Parse: E0418 23:30:12.973637       1 reflector.go:205] k8s.io/autoscaler/addon-resizer/nanny/kubernetes_client.go:107: Failed to list *v1.Node: Get https://10.11.240.1:443/api/v1/nodes?resourceVersion=0: dial tcp 10.11.240.1:443: getsockopt: connection refused
ERROR: logging before flag.Parse: E0418 23:30:13.975024       1 reflector.go:205] k8s.io/autoscaler/addon-resizer/nanny/kubernetes_client.go:107: Failed to list *v1.Node: Get https://10.11.240.1:443/api/v1/nodes?resourceVersion=0: dial tcp 10.11.240.1:443: getsockopt: connection refused
ERROR: logging before flag.Parse: E0418 23:30:14.976582       1 reflector.go:205] k8s.io/autoscaler/addon-resizer/nanny/kubernetes_client.go:107: Failed to list *v1.Node: Get https://10.11.240.1:443/api/v1/nodes?resourceVersion=0: dial tcp 10.11.240.1:443: getsockopt: connection refused
ERROR: logging before flag.Parse: E0418 23:30:16.063760       1 reflector.go:205] k8s.io/autoscaler/addon-resizer/nanny/kubernetes_client.go:107: Failed to list *v1.Node: Get https://10.11.240.1:443/api/v1/nodes?resourceVersion=0: dial tcp 10.11.240.1:443: getsockopt: connection refused
ERROR: logging before flag.Parse: E0418 23:30:27.065693       1 reflector.go:205] k8s.io/autoscaler/addon-resizer/nanny/kubernetes_client.go:107: Failed to list *v1.Node: Get https://10.11.240.1:443/api/v1/nodes?resourceVersion=0: net/http: TLS handshake timeout
ERROR: logging before flag.Parse: E0418 23:30:30.077159       1 nanny_lib.go:95] Error while querying apiserver for resources: Get https://10.11.240.1:443/api/v1/namespaces/kube-system/pods/heapster-v1.6.0-beta.1-fdc7fd478-8s998: net/http: TLS handshake timeout
ERROR: logging before flag.Parse: E0418 23:30:59.778560       1 reflector.go:205] k8s.io/autoscaler/addon-resizer/nanny/kubernetes_client.go:107: Failed to list *v1.Node: Get https://10.11.240.1:443/api/v1/nodes?resourceVersion=0: dial tcp 10.11.240.1:443: i/o timeout

e também em recipiente heapster

I0423 07:02:10.765134       1 heapster.go:113] Starting heapster on port 8082
W0423 07:16:27.975467       1 manager.go:152] Failed to get all responses in time (got 2/3)
W0423 07:16:43.064110       1 manager.go:107] Failed to get kubelet_summary:10.128.0.49:10255 response in time
W0423 07:20:36.875359       1 manager.go:152] Failed to get all responses in time (got 2/3)
W0423 07:20:44.383790       1 manager.go:107] Failed to get kubelet_summary:10.128.0.49:10255 response in time
W0423 07:22:29.683060       1 manager.go:152] Failed to get all responses in time (got 2/3)
W0423 07:22:40.278962       1 manager.go:107] Failed to get kubelet_summary:10.128.0.49:10255 response in time
W0423 07:31:27.072711       1 manager.go:152] Failed to get all responses in time (got 2/3)
W0423 07:31:54.580031       1 manager.go:107] Failed to get kubelet_summary:10.128.0.49:10255 response in time

Como posso consertar isso?

Alguma informação adicional que devo fornecer?

monitoring
Martin Hope
Korjavin Ivan
Asked: 2015-03-25 09:56:08 +0800 CST
  • 1

Eu tenho um host que executa alguns contêineres do docker.

Este host possui algumas interfaces de rede, meu objetivo é tornar algumas portas expostas de contêineres acessíveis apenas por determinadas interfaces e impedir o acesso de outras.

Eu gostaria de usar o iptables do host para isso.

Mas é impossível fazer simplesmente com:

iptables -I INPUT -i vlan2 --dport 80 -j DROP

porque os pacotes são encaminhados por pré-roteamento.

iptables -t nat -L PREROUTING                                                                                                                               2
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         
DOCKER     all  --  anywhere             anywhere             ADDRTYPE match dst-type LOCAL

Chain DOCKER (2 references)
target     prot opt source               destination         
DNAT       tcp  --  anywhere             anywhere             tcp dpt:mysql to:172.17.0.2:33066
DNAT       tcp  --  anywhere             anywhere             tcp dpt:http to:172.17.0.4:80

Existem duas portas expostas 80 e 3306 para contêineres diferentes e quero torná-la inacessível a partir da interface vlan2

Depois que eu adicionei isso:

iptables -I FORWARD -i vlan2 -p tcp --dport 80 -j REJECT

O servidor Web parou de funcionar, mas

iptables -I FORWARD -i vlan2 -p tcp --dport 3306 -j REJECT

não impeça a conexão com o mysql, ainda consigo me conectar. E o tcpdump prova isso:

tcpdump -n -i vlan2 port 3306
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on vlan2, link-type EN10MB (Ethernet), capture size 262144 bytes
22:48:13.066636 IP 3.2.2.2.47259 > 1.1.2.3.3306: Flags [S], seq 3619220560, win 29200, options [mss 1460,sackOK,TS val 90183390 ecr 0,nop,wscale 7], length 0
22:48:13.066740 IP 1.1.2.3.3306 > 3.2.2.2.47259: Flags [S.], seq 2743923517, ack 3619220561, win 28960, options [mss 1460,sackOK,TS val 10989883 ecr 90183390,nop,wscale 7], length 0

E não consigo entender a diferença entre essas duas regras.

Como usar o iptables do host para impedir o acesso aos contêineres

iptables
Martin Hope
Korjavin Ivan
Asked: 2015-01-24 08:24:20 +0800 CST
  • 72

Eu tenho o contêiner docker com software instalado e configurado.

Não há nenhum programa que deve ser iniciado/executado o tempo todo.

O que eu quero - sua capacidade de iniciar algum comando dependendo de eventos externos. Curti:

docker exec mysupercont /path/to/mycommand -bla -for

e

docker exec mysupercont /path/to/myothercommand

Mas "exec" é impossível quando o contêiner está parado, e também esse contêiner tem alguns dados "de trabalho" dentro, que são usados ​​para esses comandos, então não posso usar

docker run ...

cada vez, porque recria o contêiner da imagem e destrói meus dados.

Qual é a maneira "certa" e "melhor" de manter esse contêiner funcionando? Qual comando eu posso iniciar dentro?

docker
Martin Hope
Korjavin Ivan
Asked: 2014-10-29 02:29:48 +0800 CST
  • 0

Tenho um cliente na minha rede, que me pede para impedir que ele pegue endereço ip via dhcp.

Ele tem um software estranho e não pode desligar o dhcp-client, mas esse cliente dhcp faz algo ruim depois de obter o ip.

Na mesma vlan tenho clientes que precisam de dhcp para funcionar.

Eu tentei isso para isc-dhcp41-server-4.1.e,2:

host client_disable {                                                                                                                                                             
  hardware ethernet aa:bb:cc:dd:rr:ff;                                                                                                                                     
  fixed-address 0.0.0.0;                                                                                                                                                   
}

Parece que não funciona.

Estou tentando pesquisar isso no Google, mas parece que são cenários bastante estranhos e não consigo encontrar nada apropriado.

Por favor, me aponte para a solução certa.

dhcp