istio 配置

Istio 服务网格
Istio 使用功能强大的 Envoy 服务代理扩展了 Kubernetes，以建立一个可编程的、可感知的应用程序网络。 Istio 与 Kubernetes 和传统工作负载一起使用，为复杂的部署带来了标准的通用流量管理、遥测和安全性。

安装

1
curl -L https://istio.io/downloadIstio | sh -

真实 ip 转发

生成环境不建议

1
kubectl patch svc istio-ingressgateway -n istio-system -p '{"spec":{"externalTrafficPolicy":"Local"}}'

HTTP/HTTPS 负载均衡

1
2
3
4
5
6
7
apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
spec:
  meshConfig:
    defaultConfig:
      gatewayTopology:
        numTrustedProxies: 2

通过负载均衡器, 添加 ip 转发头
以 nginx 为例

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
map $http_upgrade $connection_upgrade {
    default upgrade;
    ''      close;
}

server {
	listen 80 default_server;
	listen [::]:80 default_server;

	server_name _;

	location / {
                proxy_http_version 1.1;
                proxy_set_header Upgrade $http_upgrade;
                proxy_set_header Connection "upgrade";
                proxy_set_header Host $host;
                proxy_set_header X-Forwarded-For  $proxy_add_x_forwarded_for;
                proxy_set_header X-Real-IP $remote_addr;
                proxy_pass http://192.168.3.161;
        }
}

展开全文 >>

k8s 节点控制

在 Kubernetes 中，节点分为两种， 一种是普通节点，一种是控制平面（control-plane）节点

  • 控制平面组件包括 kube-apiserver、kube-controller-manager、kube-scheduler、etcd，是由来支撑平台运行的组件，在集群部署完成时即运行在所有的控制节点上。
  • node 节点组件在每个节点上运行，维护运行的 Pod 并提供 Kubernetes 运行环境，

etcd

  • etcd 是兼具一致性和高可用性的键值数据库，是用来保存 Kubernetes 所有集群数据的后台数据库。在生产环境中，为了保证高可用性，一般将 etcd 部署在多个节点上组成集群。

kube-apiserver

  • apiserver 是控制面的前端，对所有资源的操作都要经过 apiserver，apiserver 是无状态的，可以横型扩展，用 Haproxy 或者负载均衡器让多个 apiserver 协同工作。

kube-scheduler

  • scheduler 负责监视新创建的、未指定运行节点（node）的 Pods，选择节点让 Pod 在上面运行。调度决策考虑的因素包括单个 Pod 和 Pod 集合的资源需求、硬件/软件/策略约束、亲和性和反亲和性规范、数据位置、工作负载间的干扰和最后时限。

kube-controller-manager

  • controller-manager 是一系列控制器的集合，这些控制器在逻辑上属于不同的进程，但为了降低复杂性将这些控制器编译在了同一个可执行文件中，控制器包括：
  • 节点控制器（Node Controller）: 负责在节点出现故障时进行通知和响应
  • 任务控制器（Job controller）: 监测代表一次性任务的 Job 对象，然后创建 Pods 来运行这些任务直至完成
  • 端点控制器（Endpoints Controller）: 填充端点(Endpoints)对象(即加入 Service 与 Pod)
  • 服务帐户和令牌控制器（Service Account & Token Controllers）: 为新的命名空间创建默认帐户和 API 访问令牌
  • 以及其他比如 Pod 管理的 Replication 控制器、Deployment 控制器等数十种类型 API 对象的控制器。

kube-proxy

  • kube-proxy 是集群中每个节点上运行的网络代理， 是实现 Kubernetes 服务（Service） 概念的一部分。
  • kube-proxy 维护节点上的网络规则。这些网络规则允许从集群内部或外部的网络会话与 Pod 进行网络通信。
  • kube-proxy 有两种模式实现流量转发，分别是 iptables 模式和 ipvs(IP Virtual Server)模式，默认是 iptables 模式，是通过每个节点的 iptables 规则实现的，但随着 service 数量增大，iptables 模式由于线性查找匹配、全量更新等特点，性能会显著下降，因此从 Kubernetes 的 1.8 版本开始引入了 ipvs 模式，ipvs 和 iptables 都是基于 netfilter，但 ipvs 使用 hash 表并且运行在内核态，可以显著提升性能。

kubelet

  • kubelet 是一个在集群中每个节点（node）上运行的代理，负责接收并处理控制节点发来的指令，以及管理当前 node 上 pod 对象的容器，它保证容器（containers）都 运行在 Pod 中。
  • kubelet 接收一组通过各类机制提供给它的 PodSpecs，确保这些 PodSpecs 中描述的容器处于运行状态且健康。
  • kubelet 不会管理不是由 Kubernetes 创建的容器。
  • kubelet 支持从 API server 以配置清单形式接收资源定义，或者从指定的目录加载静态 pod 配置清单，通过容器运行时创建、启动和监事容器。

普通节点加入

1
kubeadm join <master-ip>:<master-port> --token <your-token> --discovery-token-ca-cert-hash sha256:<your-hash>

控制平面节点加入

1
kubeadm join <master-ip>:<master-port> --token <your-token> --discovery-token-ca-cert-hash sha256:<your-hash> --control-plane --certificate-key <your-certificate-key>

获取 token

1
2
3
4
5
6
7
8
9
kubeadm token list
## 获取hash
openssl x509 -pubkey -in /etc/kubernetes/pki/ca.crt | openssl rsa -pubin -outform der 2>/dev/null | openssl dgst -sha256 -hex | sed 's/^.* //'

## 生成新的证书
kubeadm init phase upload-certs --upload-certs

# 完整命令打印
sudo kubeadm token create --print-join-command --certificate-key $(kubeadm certs certificate-key)  # 如果无效，请使用上述命令重新上传证书

展开全文 >>

SeaFile 网盘

Seafile 是一款开源的企业云盘，注重可靠性和性能，支持全平台客户端。Seafile 内置协同文档 SeaDoc ，让协作撰写、管理和发布文档更便捷。
Seafile 提供全面的网盘功能，用户可以在 Seafile 中存储、管理和共享文件。支持多种文件类型。支持全平台客户端，包括 Windows、Mac、Linux、iOS、Android 多种操作系统以及移动设备，可以在任何设备上轻松访问和管理文件，体验更为统一。
Seafile 的协作功能超越了简单的文件共享。它支持多人协同在线编辑、文档编辑锁定，同时提供权限管理、版本控制和事件通知等功能，使得团队协作更加流畅、可控和高效。

(官网)[https://www.seafile.com/]

more >>

展开全文 >>

verdaccio 前端私有源

我们平时使用 npm publish 进行发布时，上传的仓库默认地址是 npm，公司内部包的管理并不希望发布到公网去，所以需要发布到自己的私有仓库， 之前都是用的 cnpmjs, 由于没有维护了，太老了，所以改用 Verdaccio。 通过 Verdaccio 工具在本地新建一个仓库地址，再把本地的默认上传仓库地址切换到本地仓库地址即可。当 npm install 时没有找到本地的仓库，则 Verdaccio 默认配置中会从 npm 中央仓库下载。

more >>

展开全文 >>

chrony 时间同步

Chrony 是一个开源自由的网络时间协议 NTP 的客户端和服务器软软件。它能让计算机保持系统时钟与时钟服务器（NTP）同步，因此让你的计算机保持精确的时间，Chrony 也可以作为服务端软件为其他计算机提供时间同步服务。

Chrony 由两个程序组成，分别是 chronyd 和 chronyc

chronyd 是一个后台运行的守护进程，用于调整内核中运行的系统时钟和时钟服务器同步。它确定计算机增减时间的比率，并对此进行补偿。
chronyc 提供了一个用户界面，用于监控性能并进行多样化的配置。它可以在 chronyd 实例控制的计算机上工作，也可以在一台不同的远程计算机上工作。

NTP 是网络时间协议（Network Time Protocol）的简称，通过 udp 123 端口进行网络时钟同步。
RHEL7 中默认使用 chrony 作为时间服务器，也支持 NTP，需要额外安装。
NTP 与 chrony 不能同时存在，只能用其中一个，并将另一个 mask 掉。

more >>

展开全文 >>