seasadm 29 янв в 11:15

Kubernetes: шпаргалка для собеседования часть 2

Средний

11 мин

17K

Блог компании ГазпромбанкСистемное администрирование*Kubernetes*

+10

Комментарии 17

sl_bug 29 янв в 12:09

После первого вопроса даже, вы меня как компания наниматель перестали бы интересовать. Потому что отдел с умственно отсталыми где-то в другом месте

seasadm 29 янв в 12:16

Можете пояснить подробнее почему этот вопрос вызвал именно такие впечатления?

ruslantum 29 янв в 19:50

я бы не стал так резко отзываться как предыдущий коментатор, но уж очень много отсебятины в ответах.
ну вот второй вопрос: ну понятно что ноды в кластере должны быть обьеденены, ну пускай будет это называться "node network", но что за звери такие "pod network" и "service network"? есть CNI который создает оверлей сеть для коммуникации внутри кластера (может быть и андерлей, но сам с такими пока не сталкивался). в этой сети коммуникация идет как между подами так и между подом и сервисом, вот доки: https://kubernetes.io/docs/concepts/services-networking/
сервис можно использовать для проброса доступа к поду извне, но при этом сервис не имеет какой-то своей сети...
третий вопрос: поддержку сетевых политик, а не егресс, либо CNI может сетевые политики, либо не может, а ингресс ИЛИ егресс правила записаны в политике для CNI до фени...
четвертый вопрос: егресс это правила для исходящего трафика в сетевый политиках, ип адрес там опционален, можно выставить хоть леибл неймспейса, хоть только порты...
дальше уже не вчитывался...

broken-ufa 31 янв в 14:56

Под понятием "pod network", вероятно, автор имел ввиду сеть, описанную в ClusterConfiguration.networking.podSubnet kubeadm конфига, а "service network" - сеть из ClusterConfiguration.networking.serviceSubnet.

ruslantum 31 янв в 15:46

оч интересно, залез в документацию rke, а то мы kubeadm не пользуемся, так там тоже можно настроить отдельную подсеть для сервисов. мне вот только интересно нафига, точно не для безопасности иначе бы я про эту настройку знал :P по сути если даже сервисы и поды будут в разных подсетях они все равно должнты быть обьеденены одной большой сетью иначе в кластере просто не будет ничего работать...

broken-ufa 31 янв в 16:34

Сеть сервисов - не настоящая. Под капотом iptables правила или ipvs

Короче, если ip сервиса попинговать, а под капотом iptables - ничего не выйдет)

ruslantum 31 янв в 16:50

погуглил зачем оно надо:
Kubernetes automates the deployment of its management services and the pods associated with deployed capabilities to master and worker nodes. As part of this process, it allocates a unique IP address to each service and pod.
In order to do so, Kubernetes must be provided with a reserved range of private network IP addresses for its services (service-CIDR parameter, default is 172.17.17.0/24) and a separate reserved range of private network IP addresses for pods (pod-CIDR parameter, default is 172.16.0.0/16).
The two IP ranges must not overlap, must not be allocated to other systems in the network, and are provided to Kubernetes at install time by specifying a network subnet in Classless Inter-Domain Routing (CIDR) format.
по сути эта настройка нужна только тем, кто по недоразумению умудрился использовать частные адреса используемые кубером по дефолту для воркер нод...
ну что тут сказать ¯_(ツ)_/¯

broken-ufa 31 янв в 17:16

по сути эта настройка нужна только тем, кто по недоразумению умудрился использовать частные адреса используемые кубером по дефолту для воркер нод...
ну что тут сказать ¯_(ツ)_/¯

Во-первых, не только поэтому) Эти сети кастомизируются, так что можно их сдвинуть, даже если ты уже используешь такие сети, что и дефолтные.

Во-вторых, так не случится коллизии, что IP пода и IP сервиса совпадут.

seasadm 1 фев в 09:18

Привет, Руслан! Рад видеть что ты не растерял задора :)

broken-ufa 1 фев в 11:29

Привет, снежок! Тоже рад тебя видеть)

seasadm 1 фев в 12:05

Блин. А я уже начал забывать какой ты мамкин расист :)

ALexhha 7 фев в 11:21

по сути если даже сервисы и поды будут в разных подсетях они все равно должны быть объеденены одной большой сетью иначе в кластере просто не будет ничего работать...

не должны, для этого есть тот же kube-proxy