Comments / Profile of karabanov / Habr

Александр Карабанов @karabanov

Системный администратор

Habr Career

ProfileArticles1PostsNewsComments159

Домашняя серверная для DevOps: установка GitLab + Let's Encrypt

karabanov 20 hours ago

Тоже самое только в контейнере

docker-compose.yml

networks:
  gitlab_net:
    name: gitlab
    driver: bridge
    ipam:
      driver: default
      config:
      - subnet: '172.28.3.0/24'
        gateway: '172.28.3.254'
        ip_range: '172.28.3.0/28'
    driver_opts:
      com.docker.network.bridge.name: gitlab-bridge

services:
  gitlab:
    container_name: gitlab
    hostname: gitlab.example.com
    image: gitlab/gitlab-ee:17.11.2-ee.0
    shm_size: '512mb'
    environment:
      SENSELESS: variable
      GITLAB_OMNIBUS_CONFIG: |
          ### Postgresql settings
          ###! Docs: https://docs.gitlab.com/omnibus/settings/database.html
          postgresql['enable'] = true
          postgresql['listen_address'] = '0.0.0.0'
          postgresql['port'] = 5432
          postgresql['md5_auth_cidr_addresses'] = ['127.0.0.1/24', '172.28.3.0/24', '197.15.22.0/24']
          postgresql['trust_auth_cidr_addresses'] = %w(127.0.0.1/24)

          # force ssl on all connections defined in trust_auth_cidr_addresses and md5_auth_cidr_addresses
          postgresql['hostssl'] = true
          postgresql['db_sslmode'] = 'require'

          # Disable monitoring
          prometheus_monitoring['enable'] = false
          prometheus['enable'] = false
          postgres_exporter['enable'] = false
          redis_exporter['enable'] = false
          node_exporter['enable'] = false
          alertmanager['enable'] = false

          # Custom settings
          postgresql['max_connections'] = 512
          postgresql['shared_buffers'] = '4096MB'

          external_url 'https://gitlab.example.com'

          # gitlab_rails['gitlab_ssh_host'] = 'ssh.host_example.com'
          gitlab_rails['time_zone'] = 'Europe/Moscow'
          gitlab_rails['gitlab_email_enabled'] = true
          gitlab_rails['gitlab_email_display_name'] = 'My GitLab'
          gitlab_rails['webhook_timeout'] = 40

          ### GitLab email server settings
          ###! Docs: https://docs.gitlab.com/omnibus/settings/smtp.html
          ###! **Use smtp instead of sendmail/postfix.**

          gitlab_rails['smtp_enable'] = true
          gitlab_rails['smtp_address'] = "smtp.yandex.ru"
          gitlab_rails['smtp_port'] = 465
          gitlab_rails['smtp_user_name'] = "gitlab@example.com"
          # user password
          #gitlab_rails['smtp_password'] = "xxxxxxxxxxxxxxxxxxx"
          # application password
          gitlab_rails['smtp_password'] = "xxxxxxxxxxxxxxxxxxx"
          gitlab_rails['smtp_domain'] = "example.com"
          gitlab_rails['gitlab_email_from'] = "gitlab@example.com"
          gitlab_rails['smtp_authentication'] = "login"
          gitlab_rails['smtp_enable_starttls_auto'] = false
          gitlab_rails['smtp_tls'] = true
          gitlab_rails['smtp_openssl_verify_mode'] = "peer"

          letsencrypt['enable'] = true
          letsencrypt['contact_emails'] = ['admin@example.com']
          letsencrypt['auto_renew_hour'] = "12"
          letsencrypt['auto_renew_minute'] = "30"
          letsencrypt['auto_renew_day_of_month'] = "*/7"

          nginx['redirect_http_to_https'] = true
          nginx['hsts_max_age'] = 63072000
          nginx['hsts_include_subdomains'] = true
          nginx['http2_enabled'] = true
          nginx['proxy_set_headers'] = {
            'X-Forwarded-Proto' => 'https',
            'X-Forwarded-Ssl' => 'on'
          }

          registry['enable'] = false

          ### Backup Settings
          ###! Docs: https://docs.gitlab.com/omnibus/settings/backups.html
          gitlab_rails['manage_backup_path'] = true
          gitlab_rails['backup_path'] = "/var/opt/gitlab/backups"
          ## Limit backup lifetime to 2 days - 172800 seconds
          gitlab_rails['backup_keep_time'] = 86400

    # In the event of an disaster,
    # the container must be stopped manually
    # and must not start automatically.
    restart: unless-stopped
    ports:
      - "197.15.22.27:22:22"
      - "80:80"
      - "443:443"
    volumes:
      - './gitlab.example.com/config:/etc/gitlab'
      - './gitlab.example.com/logs:/var/log/gitlab'
      - './gitlab.example.com/data:/var/opt/gitlab'
      - './gitlab.example.com/hooks:/opt/gitlab/embedded/service/gitlab-shell/hooks'
      - './gitlab.example.com/backups:/var/opt/gitlab/backups'
    networks:
      gitlab_net:
        ipv4_address: 172.28.3.1

DNS-01 challenge в GitLab не реализован, поэтому придётся использовать HTTP-01 challenge, либо получать сертификат с помощью certbot

Look

Запуск cron внутри Docker-контейнера

karabanov Mar 18 at 19:33

Появилось некое решение supercronic - ещё не тестировал, но судя по описанию выглядит перспективно.

Look

Безопасность CI/CD — базовая гигиена и реализация в разработке облака MWS

karabanov Jan 31 at 00:19

В Community Edition GitLab в актуальной версии уже внесены настройки, запрещающие по умолчанию аппрувить свои изменения. Это работает даже в случаях, когда разработчик добавляет коммит в чужую ветку — он всё равно не сможет влить в неё изменения без аппрува.

В Community Edition GitLab аппрувы не доступны - кнопка там есть но она ни ни что не влияет, даже если не проставить аппрувы мерж можно будет выполнить всё равно. Настоящие аппрувы доступны начиная с Premium

Или вы нашли какой-то способ включить аппрувы в Community Edition GitLab?

Look

Плюсы и минусы профессии DevOps: мысли для слушателей ИТ-курсов и не только

karabanov Aug 22 2024 at 19:33

DevOps - это не профессия, а методология.

Look

Vault HA + Consul HA + k8s

karabanov Jun 2 2024 at 17:52

Создать фаил secret-tls-consul.yaml

Это можно сделать одним действием:

kubectl create secret tls secret-tls \
    --namespace test \
    --key privkey.pem \
    --cert fullchain.pem

Look

Улучшаем возможности Nginx без затрат на коммерческую подписку (спойлер: с помощью Haproxy)

karabanov Nov 16 2023 at 20:13

VTS тоже не совсем настоящие метрики экспортирует, к примеру данные о запросе можно получить только после того, как он будет завершён, а сколько запросов обрабатывается в данный момент непонятно. Это почти тоже самое, что и логи парсить...

У Angie есть модуль prometheus который позволяет экспортировать более точные метрики.

Look

Улучшаем возможности Nginx без затрат на коммерческую подписку (спойлер: с помощью Haproxy)

karabanov Nov 16 2023 at 20:03

https://angie.software/ выглядит привлекательнее tengine, как мне кажется, да и API у него имеется.

Кстати интервью с разработчиками сегодня опубликовали: "Интервью с Валентином Бартеневым: как бывшие сотрудники Nginx разрабатывают отечественный веб-сервер Angie"

Look

Яндекс выводит за границу заработанные в России деньги, пока это возможно

karabanov Jul 31 2023 at 19:15

От Деливери отстался только фронтенд, а внутри в качестве бека Яндекс.Еда

Look

Android-разработка для самых маленьких

karabanov Jul 20 2023 at 16:37

добавление jdk8 и jdk11 (строка 52)
удаление jdk11 (строка 79)

Фактически из образа jdk11 не удаляется - она остаётся на том слое, где была установлена.

Look

Родительский helm chart для проектов + werf

karabanov Jun 13 2023 at 11:58

Немного дополню про гитерминизм - помимо добавления в werf-giterminism.yaml:

giterminismConfigVersion: 1
helm:
  allowUncommittedFiles:
    - ".helm/Chart.lock"
    - ".helm/charts/*.tgz"

Важно так же добавить в .gitignore:

.helm/Chart.lock
.helm/charts/*.tgz

Иначе во время деплоя получим:

Error: phase build on image builder stage gitArchive handler failed: the following untracked files must be committed:
  - .helm/Chart.lock
  - .helm/charts/classic-php-apps-1.0.4.tgz
... skipped ...

Look

Поднимаем Kubernetes с нуля

karabanov May 14 2023 at 18:17

Это особенность Kubelet и для его предсказуемого поведения SWAP должен быть отключен.

Look

Перенос в Docker монолитного SAAS-сервиса

karabanov Apr 13 2023 at 11:42

Кстати, фича реквест за интеграцию с Kubernetis вот тут имеется

Система оркестрации контейнеров называется не Kubernetis, а Kubernetes

Название Kubernetis неверное ;-)

Look

Сеть контейнеров — это не сложно

karabanov Nov 16 2022 at 22:52

Бывает натыкаюсь в интернете на мега понятные посты, а потом смотрю, кто автор и оказывается это написал я. Автор этой статьи не я, но написано настолько доходчиво (понятна буквально каждая буква), что меня не покидало ощущение, буд-то это я сам написал.

Спасибо.

Look

Безопасность в Linux

karabanov Oct 20 2022 at 00:43

firewalld - это обёртка для утилиты iptables

Look

Безопасность в Linux

karabanov Oct 20 2022 at 00:40

Если в кратце то да. Это примерно, как глоток холодной воды в пустыне.

<dushnila_mode>

Фирвол это netfilter, а iptables - это утилита для его настройки

</dushnila_mode>

Look

Расширенное использование SSH

karabanov Oct 12 2022 at 19:13

Можно использовать по сокету на сервер и ограничивать время:

Host *
User root
Compression no
ServerAliveInterval 300
ServerAliveCountMax 5
ControlMaster auto
ControlPath ~/.ssh/control/%r@%h:%p
ControlPersist 10m

Look

Не мучайте свой мизинец

karabanov Jun 7 2022 at 20:05

Статья высосана из пальца.

Look

Настройка Xdebug 3 на внешнем сервере в Docker-контейнере через SSH-туннель

karabanov May 17 2022 at 01:23

Не вижу смысла в настройке NAT, так как 172.18.0.1 доступен из хостовой сиcтемы, таким образом, SSH туннель можно построить сразу c 172.18.0.1:9003

ssh -R 172.18.0.1:9003:127.1:9003 my-user@example.com

Look

Экстремальная настройка производительности HTTP: 1,2M API RPS на инстансе EC2 с 4 виртуальными процессорами (vCPU)

karabanov Apr 23 2022 at 10:35

Еще добавил бы увеличить txqueuelen на сетевке: увеличивает пропускную способность

И, в месте с ней, задержки.

Look

Настройка docker в debian 11.2

karabanov Feb 12 2022 at 23:09

команду на создание образа необходимо выполнить из под sudo

Если добавить пользователя в группу docker то можно и без sudo

sudo usermod -aG docker $USER

После выполнения этой команды надо перелогиниться, что бы настройки вступили в силу.

Look

2 3 ...

7 8

Information

Specialization