Телеграмм чат группы ru_hashicorp страница 1263

09:05пожаловаться #1

AY

Alexey Yurchenko in ru_hashicorp

Смотри
У меня traefik выступает как балансировщик, ну как бы ежу понятно
настает момент когда я хочу добавить новое приложение или сайт с уже имеющимся сертификатом
соотвтетственно я должен добавить его в джобу traefik и перезапустить оный
не совсем удобное если учесть что у меня пару десятков сайтов и не хочется рубить все коннекты

Graceful shutdown есть же. Ничего не рубится. Перезапускаю траефики без разрывов

Key-value Store Configuration - Traefik

09:10пожаловаться #2

AY

Alexey Yurchenko in ru_hashicorp

Но в любом случае есть же consul (не consultcagalog)

https://doc.traefik.io/traefik/v1.7/user-guide/kv-config/

doc.traefik.io

Traefik Documentation

09:10пожаловаться #3

m

про консул каталог я знаю
но тогда надо хранить весь конфиг traefik в консуле

09:24пожаловаться #4

c

citius in ru_hashicorp

так в консуле и збс хранится.
серты с ключами в волте.

зачем эти приседания с файлами, гемор же.
трэфик прекрасен как раз тем, что умеет в динамические конфиги прямо из коробки )

10:04пожаловаться #5

m

Немного инфру надо будет пересматривать
как обычно некогда

10:06пожаловаться #6

m

я делал кейс с хранением конфига в консуле, но проект не полетел и в итоге в прод реализация не ушла

10:06пожаловаться #7

m

кластер под проект на впсках поднимал

10:06пожаловаться #8

m

Nikolay Zykov

в 2.х можно сделать так

[providers.file]
  directory = "/traefik/"
  watch = true
  filename = "dynamic.toml"

В dynamic.toml описываются серты и ключи, серты потом выбираются в зависимости от консул лейблов.

кстати надо катнуть наверное на 443 порту отдельно
всё равно надо будет переезжать на 2.х
мне этот единственный сертификат всю жизнь портит, а так мы за CF

10:15пожаловаться #9

c

citius in ru_hashicorp

кстати надо катнуть наверное на 443 порту отдельно
всё равно надо будет переезжать на 2.х
мне этот единственный сертификат всю жизнь портит, а так мы за CF

так от CF до своих балансеров тоже как бы хочется ssl, не?

я тоже с КФ живу, и в трэфик приходится ставить их Origin серты, чтобы можно было включить https end-to-end

10:18пожаловаться #10

m

у меня не end2end
Хотя наверное это плохо

10:19пожаловаться #11

m

я не могу этот единственный домен перенести в cf, у меня уже куплен сертификат под него, есть поддомены, короче гемор с переносом

10:19пожаловаться #12

m

кстати можете мне обьяснить за sidecar
я так понимаю он позволяет легко и не принужденно взаимодействовать между микросервисами ?

10:27пожаловаться #13

VS

Vladimir Samoylov in ru_hashicorp

кстати можете мне обьяснить за sidecar
я так понимаю он позволяет легко и не принужденно взаимодействовать между микросервисами ?

+1 контейнер внутри Pod/Task/Group
А что он делает это уже другой вопрос)

11:51пожаловаться #14

m

Vladimir Samoylov

+1 контейнер внутри Pod/Task/Group
А что он делает это уже другой вопрос)

да я понял что это контейнер
только вот в чем профит всего этого ?

12:12пожаловаться #15

VS

Vladimir Samoylov in ru_hashicorp

да я понял что это контейнер
только вот в чем профит всего этого ?

один из вариантов использования это строить защищенные соединения между сервисами без правки самого сервиса
в качесве второго контейнера подсаживаю Envoy (как Consul Connect) и он уже берет на себя вопросы с TLS
еще можно какие то логи забирать кастомные через локальную сеть между контейнерами и куда то дальше слать
можно тестировать целиком всю связку сервисов по аналогии с docker-compose

12:15пожаловаться #16

VS

Vladimir Samoylov in ru_hashicorp

в целом делать всё что угодно без модификации основного контейнера

12:15пожаловаться #17

m

а, точно, читал как раз про пример с java
добавляем sidecar который как раз таки реализует ssl, там вроде nginx был

12:16пожаловаться #18

AP

Anton Patsev in ru_hashicorp

Кто-нибудь собирал с помощью packer OVF в VMWare vCloud Director? Подойдет ли "builders" "type": "vsphere-iso" для сборки OVF?

12:19пожаловаться #19

J

JuffYuff in ru_hashicorp

Vladimir Samoylov

один из вариантов использования это строить защищенные соединения между сервисами без правки самого сервиса
в качесве второго контейнера подсаживаю Envoy (как Consul Connect) и он уже берет на себя вопросы с TLS
еще можно какие то логи забирать кастомные через локальную сеть между контейнерами и куда то дальше слать
можно тестировать целиком всю связку сервисов по аналогии с docker-compose

В случае хашистека и апи гв достаточно добавить Connect