Docker a kontejnery

RUDOLF --- --- 10:06:27 16.1.2024

MARTEN: traefik poslouchá na 443, máš tam nastavený routing pravidla, podle hostname např do různých služeb a systémový firewall má všechno krom 443 bloklé a těch pár jiných máš whitelistu. Vůbec bych dockeru firewall nenastoval, řeš to na úrovni OS. Ale možná jsem nepochopil tvůj problém;-)

MARTEN --- --- 11:58:47 15.1.2024

2 odpovědi

Resil jste nekdo nastaveni firewallu pro server kde bezi docker? Prijde mi ze docker je na tohle docela blby, hlavne tim jak se sam stara o pravidla v iptables.
Co asi potrebuju je zakazat vsechny porty. Nektere povolit pouze z urcitych url. 80/443 povolit pro vsechny.
Co mam ted je docker kde bezi traefik a contanery si vytvareni hosty. 80/443 je presmerovane na to (docker si sam dela pravidlo). V iptables pravidla na zakazani vseho a jen povoleni co potrebuju. Ale tohle mi relativne blbne a mlati se s pravidlama z dockeru. Co zadam vlastni, tak bud nefunguji, nebo kdyz funguji, tak ale zafunguji i jako egress.
Nemate nekdo reseni tady pro to? Nejlepe i s gui, nebo lehce nastavitelne. Nektere sluzby budou pristupne z ostatnich serveru ale ne vsude muze byt docker swarm, aby to bylo lehci.

MLEKAR_STEIN --- --- 11:35:06 19.12.2023

GIOMIKY:
no, je to blby heslo.
helm si blbe nastavi heslo pro uzivatele. protoze tam neni to co je v secretu, ale neco jineho.

a dokonce uz jsem prisel na to proc.

po odinstalaci tam zustane pvc, kterej se v helmu jmenuje porad stejne, takze si to drzi stara data.

GIOMIKY --- --- 22:11:19 18.12.2023

1 odpověď

MLEKAR_STEIN: Nepomohl by stejda duckduckgo.com?
[bitnami/rabbitmq] invalid credentials issue when extraConfiguration used · Issue #4635 · bitnami/charts · GitHub
https://github.com/bitnami/charts/issues/4635

Stale jsem presvedcen, ze ty jsi se mel zamerit na heslo, kdyz mas hlasku neplatne jmeno nebo heslo.

The secret defining the RABBITMQ_PASSWORD :

➜ kgsec rabbit -o yaml
apiVersion: v1
data:
rabbitmq-erlang-cookie: SkZIRERQTUh6Mzd0Zk5Ba0w0a0VPbVBxamtPRXNsYzY=
rabbitmq-password: bXlwYXNzCg==
kind: Secret
metadata:
name: rabbit
namespace: test1100
type: Opaque

MLEKAR_STEIN --- --- 21:47:03 18.12.2023

VELDRANE: nakonec jsem zjistil, že to dělá vzdycky. měl jsem v testovacím values pro samotnyho rabbita chybu, nechal jsem tam prefix z globalnich values,, takze se neuplatnily a tak se vlastne nainstalocal bez parametrru.
takze to dela dycky a tim padem to bude nekde okolo readiness probe, ta chyba co to vypisuje na to smeruje.

VELDRANE --- --- 20:16:34 18.12.2023

1 odpověď

MLEKAR_STEIN: hele rad bych Ti pomoh, ale ac mam s helmem pomerne bohaty zkusenosti tak sem subchart nikdy nepouzil. Smrdi to tim ze ten secret se nevyrenderuje - btw: nebylo to donedavna tak ze se secrets nerenderovaly vubec ?

Co vyzvraci helm template ... -debug > nejakejfajl.out ?

MLEKAR_STEIN --- --- 17:01:44 18.12.2023

1 odpověď

GIOMIKY: to je čistej rabbitmq, tam žadnej apache neni
to spís je záznam od readiness probe nebo néco takovýho

GIOMIKY --- --- 16:36:32 18.12.2023

1 odpověď

MLEKAR_STEIN: logy apache si zkoumal? Ještě se může přístup řídit skupinou.

MLEKAR_STEIN --- --- 16:27:01 18.12.2023

1 odpověď

GIOMIKY:
ale tady se zadny hesla nikde nezadavaji. a zadny externi ucty to nema napojene.

pri instalaci si to vygeneruje secret s heslem, to je v obou dvou pripadech vygenerovany,

a asi maji neco blbe v helmu, protoze kdyz se da instalace uplne bez parametru, tak to prochazi spravne.
no nic, bitnami image.

GIOMIKY --- --- 15:53:00 18.12.2023

1 odpověď

MLEKAR_STEIN: Pátrej po heslech. Někde je blbě zadaný heslo. Nebo bloklej účet.

MLEKAR_STEIN --- --- 15:29:53 18.12.2023

1 odpověď

GIOMIKY:
tohle je stav po `helm install`
a neni to zavisly na zadnym externim zdroji.
jsou to vsechno ciste instalace do prazdneho namespace.
kdyz udelam prave cistou instalaci samotnyho chartu, tak to jede,
kdyz udelam instalaci jako subchartu, tak to hlasi tohle.

GIOMIKY --- --- 15:22:44 18.12.2023

1 odpověď

MLEKAR_STEIN: Nezmenil sis v posledni dobe nekde nejaky heslo?

MLEKAR_STEIN --- --- 15:22:01 18.12.2023

2 odpovědi

a teda fuckup jestli nekdo nevite,
mam rabbitmq jako subchart, kdyz je jako subchart, tak se v logu objevi hlaska

HTTP access denied: user 'muser' - invalid credentials

a kontejner se nidky nedostane do stavu running, o kdyz vlastne bezi.

kdyz to s tema samyma values zkusim nainstalovat samotny, tak to normalne bezi.

rabbitmq:
  volumePermissions:
    enabled: true
  metrics:
    enabled: true
  auth:
    username: muser
    securePassword: true

MLEKAR_STEIN --- --- 13:33:02 18.12.2023

a sam si odpovim, ze se vzdy udela render jednotlivzch yamlu, takze se neda udelat "true postinstall" tedy ze by se to zpracovalalo az teprve kdyz je vsechno nainstalovane,
proste ten lookup tam je a bude uz ve fazi renderovani, takze to musim udela jinak.

MLEKAR_STEIN --- --- 19:17:43 15.12.2023

mám helm chart. je to zapouzdřeni, které ma nainstalovat ctyři subcharty.
instalace funguje, běha to.

problém je, že
v něm na zakladě jednoho secretu kde je vygenerovane heslo potrebuju udělat jinej secret, ve kterym bude i adresa serveru a pod.

myslel jsemm, že bych to mohl udělat pomocí post-install/post-upgrade hooku. ve kterém pouziju lookup do secretu s heslem.
post-upgrade funguje v pořádku

post-install se chová tak, že mi helm.nic nenainstaluje, protože se na začátku snaží vyrobit ten secret ke kteremu dela lookup, ale podle dokumentace by měl post-install dělat až je to nainsralovaný, ale nechová se to tak

a nevim jak z toho ven

teda kromě toho, ze tam ručně předudělám jinej secret, ale to se nemusím dělat s helmem.

MARTEN --- --- 15:13:23 3.12.2023

SADY: TOhle se bojim, ze se samotnym dockerem nebude mit az tak moc spolecneho. Spis to bude jak bezi jednotlive service, komunikuji mezi sebou atd.
Refuse predpokladam ze je z browseru. Pak je otazka ktery container se z browseru vola. A urcite bych tedy v browseru prekontroloval jak vypada response a co v ni je. Treba neco spadlo a CORS se neposlala.

SADY --- --- 0:26:16 30.11.2023

1 odpověď

mam takovej problem co jsem obesel, ale presto

mam orchestraci v docker-compose, kde bezi kontejnery proxy, mysql, php backend a nextjs/nuxtjs frontend

v projektu s python djangem jako backendem a flutter frontem normalne funguje vsechno na interni docker siti pres "service_name":"port"

ale ve vyse popsanem ty fronty proste hazou E_CONN_REFUSED, vim ze to neni CORS ani jiny zjevny problem, backend odpovi, proxy odpovi, nextjs/nuxtjs to zamitnou a ani axiom debug neporadi, z toho front kontejneru jde zavolat pres curl ta adresa 200 OK bez special headers, kdyby nahodou mel nekdo primou zkusenost... obesel jsem to pres host.docker.internal

MLEKAR_STEIN --- --- 22:37:04 14.10.2023

SKUTEKKUTEKK: docker si ukláďá informace o sítích do binárniho souboru
na linuxu je to někde ve /var/lib/docker soubor s připonou .db

tipoval bych, že si docker po upgradu prošel sítě, něco se nemuselo povést nebo síť nešla vytvořit, protože už existovala a použil prostě nový rozsah
zároveň starý rozsah zůstal v databázi, takže nejde znovu nastavit.
na tohle chování jsem narazil na serveru, kde si hráli vývojáři a kde se vytvářely a mazaly sítě pořád a nikdy se nepoužily znova.

jako řešení je, smaznout tu db a vyrobit si ty sitě úplně znovu.

SKUTEKKUTEKK --- --- 22:09:21 14.10.2023

1 odpověď

Ahoj, stala se mi taková prazvláštní věc. Aktualizoval jsem Docker desktop na 4.24.2 (osx) a webová apklikace (php/nette monolit) se začala chovat trochu zvláštně, vede mě to k tomu že docker compose nebyl od začátku správně nastavený a projevilo se to až teď.

Totiž celou dobu byl výchozí docker subnet nastavený na 172.17.0.0/16 což už z nějakého důvodu přes GUI nejde nastavit - projde jen 172.17.0.0/24

A současně v docker-compose bylo nakonci

networks:
  default:
    driver: bridge
    ipam:
      driver: default
      config:
        - subnet: 172.24.0.1/16

Pokud teď nastavím stejný subnet (172.24.0.1/16) pro docker engine a síť mezi kontejnery, tak se požadavky kontejnerů nedostanou ven (nanapingám github atd), vidí se jen mezi sebou.

Pokud nastavím různé subnety, tak všechno funguje jak má.

Primárně by mě ale zajímalo co se stalo, proč doteď docker v defaultu subnet na 172.17. 0.0/16 a po updatu se změnil na 192.168.65.0/24 ?

SH_PANDA --- --- 7:59:05 28.8.2023

No nevim, jestli si nekdo proklikl ten link od mlekare, ale jak jsem pochopil, tak nechce psat skripty, jenom deklarativne popsat, jak ma vypadat cilovy stav a to mu zadny "tool pro zpousteni skriptu" jaksi neudela, nebo se pletu?

Kliknutím sem můžete změnit nastavení reklam

přezdívka
heslo

pamatuj si mě
registrace
ztracené heslo?