本篇文章作為一個經驗談,探討於 AWS EKS 的環境中要如何避免 IP 發放完畢。
對於 Kubernetes 來說,CNI 負責的功能主要有兩個,分別是 IPAM 以及 Network Connectivity.
公有雲管理的 Kubernetes 為了讓整體操作環境可以與其雲端內的其他元件有更好的整合,通常都會開發屬於自己的 CNI 系統,譬如 Azure, AWS, Google 都有這方面的設計。
這種設計的最大好處就是可以將 Pod 使用的 IP地址透過本來 VPC 內的設計去管理,而本文要討論的就是 AWS EKS 環境中可能會遇到的 IP 地址分配問題。
EKS 預設會使用 AWS VPC CNI 來提供相關服務,其底層實作主要牽扯到底層 ENI 的配置與設定,主要會影響到底還有多少個 IP 地址可以用來分配給新的 Pod 使用。
從 Cluster 的角度來看,要先注意的 VPC 內的網段設定,如果一開始分割的子網段是/28,這情況下你整個叢集內只能有30個左右的 IP 地址可以發放,這數量根本完全不太夠使用。
從單一節點的角度來看,要注意每個節點上可以配置多少個 ENI 以及每個 ENI 能夠配置多少網卡
該 CNI 分配 IP 時會先想辦法把現有網卡上面能夠分配的 IP 填滿,一旦填滿就會創立新的網卡,接者繼續分配 IP,當運行的 Pod 數量超過節點上現時就沒有辦法繼續分配 IP。
官方針對這種情況提供了一個公式去計算
(Number of network interfaces for the instance type × (the number of IP addressess per network interface - 1)) + 2
對於一個 m5.large 的機器來說,支援三張 ENI,且每個都有 10 個 IP 可以分配,因此根據上述公式
(3*(10-1))+2 = 29, 意味 m5.large 的機器上最多只能運行29個不使用 hostnetwork:true 的 Pod。
為了解決這些問題,作者提出了兩個想法,分別是
1. Adding additional IPv4 CIDR blocks to VPC
2. Change VPC CNI to Calico CNI
對這兩個想法有興趣的可以參考原文囉
https://matiaszilli.medium.com/avoiding-ip-consumption-in-amazon-eks-32fc7320253d
同時也有3部Youtube影片,追蹤數超過4,690的網紅底辺港区男子TERU,也在其Youtube影片中提到,【公式】excite MEC光↓ 👉https://hi-teru.com/mec-hikari-l/ ※↑期間限定で工事費完全無料のためお見逃しなく! 【解説記事】excite MEC光↓ 👉https://hi-teru.com/excite-mec-hikari/ 【契約縛りなし光回線比較...
ipv4設定 在 矽谷牛的耕田筆記 Facebook 的精選貼文
最近都在跟網路通靈,不免最後又來跟 rp_filter 打交道,因此今天這篇文章來幫大家複習一下 rp_filter 這個系統參數
設定位置: /proc/sys/net/ipv4/conf/$iface/rp_filter
介紹:
rp_filter 全名為 Reverse Path Filtering,是一個 Linux Kernel 用來過濾封包的機制。當封包到達一個網卡時, kernel 會根據該封包的 source IP 去進行反向(Reverse Path)檢查,當系統檢查當前的 routing table 確認該 source IP 是可以轉發的,且轉發出去的網卡與收到的網卡是一致時,封包就可以正確地接收,反之則會丟棄。
目前常見系統上 rp_filter 有三種數值可以設定
0: 請關閉 rp_filter 的功能,請不要對封包的來源進行檢查,一切都收起來。
1: 如前段所述,嚴格的針對 source IP 進行反向查找
2: (1)的不嚴格版本,一樣會對 source IP 進行反向查找,但是反向的網卡不需要與收到的網卡一致,只要確認該封包可以出去即可
大部分的情況下不建議關閉 rp_filter, rp_filter 可以用來驗證 source IP 是否合法,對於抵擋 Spoffing IP 這類型的攻擊可以起到一定的效用。
此外如果有安裝 Calico CNI 的也要注意一下這個設定,因為這種基於 routing 的 CNI 解決方式很容易會因為 rp_fitler 導致功能不正常。
https://www.theurbanpenguin.com/rp_filter-and-lpic-3-linux-security/
ipv4設定 在 矽谷牛的耕田筆記 Facebook 的最讚貼文
這是一篇幻想文,幻想如果你可以重新設計 Kubernetes,你會希望有什麼樣的改動。也因為是幻想文,所以以下所提的東西不一定真的可以實作,也沒有考慮實作上可能會有什麼困難。原文非常的長,所以這邊就稍微列出一些內容
# 前提
作者(David Anderson, MetalLB 的主要貢獻者)認為 Kubernetes 真的很複雜,從 MetalLB 的開發經驗來看,幾乎無法開發出一個永遠不會壞且與 k8s 整合的軟體。
k8s 發展快速,一些不相容的修改也很難除錯,往往導致這些整合應用程式一起壞掉。
此外,作者使用 GKE 的經驗讓他覺得就算是這些k8s專家,也很難大規模環境中平安順利的使用 k8s.
作者認為 k8s 就像是管理平台內的 c++,功能非常強大,什麼都可以做,但是它會一直傷害你,直到你奉獻餘生該領域內。
作者期盼有一天,可以出現一個像是 go 語言的管理平台,簡單,優雅,容易學習
接下來就來看一下如果時光倒流,作者會希望 k8s 有哪些功能
# Mutable Pod
不像其他的資源一樣, Pod 這個資源基本上是不能修改的,有任何的更動都需要先刪除,後重新部署這樣兩步走來處理。
作者希望可以有一種 Pod 是可以支援即時修改的。
舉例來說,我透過 kubectl edit 修改了 Pod Image,然後只要透過 SIGTERM 送給 Runc 底層容器,然後當該 Container 被重啟,就會使用新的設定。這一切的發生都在同一個 Pod 的資源內,而不是重新產生一個新的 Pod
# Version control all the things
當 Pod 可以修正後,下一個作者想要的功能就是基於 Pod 本身的 Rollback。這意味希望叢集內可以有這些資訊可以去紀錄每次的變化
為了實現這個功能,可能每個節點上面也要去紀錄過往的所有 image 版本資訊,並且加上 GC 等概念來清除過期或是太舊的內容
# Replace Deployment with PinnedDeployment
相對於 Deployment, PinnedDeployment 最大的改動就是一個 Deployment 內可以同時維護兩個版本的 Pod。
舉例來說,我今天要將 Nginx 從 1.16 升級到 1.17,我可以透過 PinnedDeployment 去部署 Nginx,其中 1.16 佔了 60% ,而新版本 1.17 佔了 40%。
當一切轉移都沒有問題後,可以逐漸地將新版本的比例遷移到 100% 來達成真正的移轉。
原生的 Deployment 要達到這個功能就要創建兩個 Deployment 的物件來達到這個需求。
# IPv6 only, mostly
作者期望能的話,想要把 k8s networking 內的東西全部移除,什麼 overlay network, serivce, CNI, kube-proxy 通通移除掉。
k8s 全面配置 IPv6,而且也只有 IPv6,通常來說你的 LAN 都會有 /64 這麼多的地址可以分配 IPv6,這個數量多到你根本不可能用完 (2^64)。
也因為都有 public IPv6 的緣故,所有的存取都採用 Routing 的方式,封裝之類的玩法也不需要了。
文章內還提了很多東西,譬如說如果今天真的需要導入 IPv4 於這個純 IPv6 的系統上,可以怎麼做,如何設計 NAT64 等,算是非常有趣的想法
# Security is yes
作者認為安全性方面要最大強化,預設情況下要開啟 AppArmor, seccomp profile 等控管機制,同時也要全面禁止用 Root 來運行容器, 基本上就是用非常嚴格的方式來設定安全性方面的規則。
目前 Kubernetes 內的資源, Pod Security Policy 非常類似作者想要完成的東西,通過這種機制確保所有部署的 Pod 都會符合這些條件。唯一美中不足的是 Pod Security Policy 也不是預設就有的規則。
# gVisor? Firecracker?
從安全性考量出發,是否預設改使用 gVisor 或是 Firecracker 這類型的 OCI Runtime 而非 Runc,同時搭配上述的各種安全性條件來打造非常嚴苛的運行環境
# VMs as primitives
是否可以讓 kubernetes 同時管理 container 以及 virtual machine,也許就會像是將 kubevirt 變成一個內建的功能,讓 kubernetes 更加靈活的使用
除了上面之外,文章內還有許多其他的想法,但是內容都滿長的,如果有興趣的可以點選下列連結參考看看
https://blog.dave.tf/post/new-kubernetes/
ipv4設定 在 底辺港区男子TERU Youtube 的最佳解答
【公式】excite MEC光↓
👉https://hi-teru.com/mec-hikari-l/
※↑期間限定で工事費完全無料のためお見逃しなく!
【解説記事】excite MEC光↓
👉https://hi-teru.com/excite-mec-hikari/
【契約縛りなし光回線比較記事】
👉https://hi-teru.com/shibarinashi-hikari/
※↑ナンバーワンは…
過去2回契約縛り期間なし&違約金0円の光コラボをenひかり・おてがる光を紹介しました。
第1弾!enひかり解説動画↓
・https://youtu.be/hJvw8ing8EE
第2弾!おてがる光解説動画↓
・https://youtu.be/IYxXM740dhg
第4弾!BB.excite光 Fit解説動画↓
・https://youtu.be/IJEYfIt8ZaA
第5弾!DTI光解説動画↓
・https://youtu.be/x46Vv39Mbiw
第6弾!ぷらら光解説動画↓
・https://youtu.be/teWt_CbrmQo
動画目次▼
00:00 今回の動画
00:27 縛りなし光回線の復習
01:25 過去紹介した2回線との違い
02:06 excite MEC光月額料金・比較
02:53 安心感のある理由は運営会社
03:10 excite MEC光の3つのスペック
03:47 excite MEC光の優位性(メリット)
05:48 excite MEC光の凄い所まとめ
06:37 注意点も…
07:06 転用・事業者変更のキャンペーン解説
09:19 excite MEC光のデメリット
11:25 デメリットの補足とワイの推測
16:35 積極的に契約しても失敗はしない理由
今回は大手の光コラボでexcite MEC光の契約縛りなしを調べてたら
とんでもないスペックだったので動画内で解説しました。
一見すると競合2社よりも月額料金は少し高めに設定されてますが、
実はexcite MEC光にしかない強みがありました。
反面デメリット?もあるので最後までご覧ください。
TERUのツイッターはコチラ↓
・https://twitter.com/TERU_biz
【関連動画】
①【プロ解説】光回線のおすすめな選び方を伝授!【コレで失敗しない】
・https://youtu.be/3b2gFx_BTbY
②【光回線】IPv6とIPv4・IPoEとPPPoE接続の違いが素人でもわかる話【おすすめな選び方】
・https://youtu.be/RovkiQpxshk
③【論理的解説】ドコモ光のプロバイダ選び方!カラクリがある【おすすめは…】
・https://youtu.be/vnkX5INcWrk
#excite MEC光
#光コラボ
#縛りなし光回線
ipv4設定 在 feverSound.com影音產品評測 Youtube 的最佳解答
Zorloo Ztella USB-C極輕便MQA DAC HK$880
一按即買:https://shop.price.com.hk/soundwaveaudio/product/138475-Zorloo+Ztella+%E8%A7%A3%E7%A2%BC%E8%BD%89%E6%8F%9B%E7%B7%9A
產品介紹:https://soundwaveaudio.com.hk/zorloo-ztella/
查詢:Soundwave Audio HK 852-27718209
https://www.facebook.com/SOUNDWAVE.HK/
---
feverSound 全新 Gadgets 生活科技頻道 http://bit.ly/2kuVVrO
國仁個人攝影攝錄 Vlog 頻道 http://bit.ly/2lyMecj
like 埋 feverSound FB 專頁未呀?未就請賜個 like 啦
https://www.facebook.com/feversound1/
https://www.instagram.com/feversound/
http://www.feversound.com/
入來「限制區」一齊吹下水啦(記得答問題喎)
https://www.facebook.com/groups/feversoundgroup/
免責聲明:片內產品規格包裝樣式功能,可因時間及貨品批次不同而相異,並以官方及代理最終發佈作準
嘉賓專訪內容純屬所屬公司/ 個人意見,並不代表本網立場
#粵語YouTuber #HiFi #Zorloo
ipv4設定 在 底辺港区男子TERU Youtube 的最讚貼文
【解説記事】光回線業界の闇↓
👉https://hi-teru.com/hikari-cb-ura/
【プロ解説動画】光回線のおすすめな選び方【完全版】
👉https://youtu.be/3b2gFx_BTbY
【診断ツール付】人気光回線&キャッシュバック窓口がスグわかる↓【優良代理店重視】
👉https://hi-teru.com/hikari-kaisen-best/
ワイが以前ネット回線の代理店に勤めてて、キャッシュバックが貰えるキャンペーンサイトを運営してたので↓のことを中心に解説したいと思います。
【裏側解説内容↓】
・キャッシュバック受け取りに申請手続きが必要な理由
・振り込み・還元時期が遅く設定してる理由(半年~1年後など)
・多くある窓口で自分が選ぶならどうするか?
光回線のキャンペーンサイトのキャッシュバックは、罠が一杯です。
世の中に出てくる代理店キャンペーンサイトの9割は罠があると思って間違いないです。
反対に、各キャリア1割程の代理店は、罠が全くない優良代理店が存在します。
(※各光回線の優良代理店は上記には貼った診断記事で見つけられ、紹介してます)
これから引っ越し・乗り換えでネット契約が必要なら絶対に優良代理店を活用して申し込むのをおすすめします。
(※優良代理店の定義は動画内で解説してるのでご覧下さい)
▼動画内容▼
00:00 オープニング
00:30 自分の職歴の話(光回線の代理店に勤めてた内容)
01:54 【序】キャッシュバックサイトの申請手続きが複雑な理由
02:48 代理店が貰える取次手数料のカラクリ
04:56 申請手続き不要でキャッシュバックできる話
05:11 代理店のキャッシュバック相場
05:46 【結論】キャッシュバックサイトの申請手続きが複雑な理由
07:20 申請不要の優良代理店が存在!
08:10 代理店が申請手続きを付けると・・・
08:46 本当に良い代理店の条件
09:02 昔自分が勤めてた代理店のキャンペーンサイトは○○だった話
10:50 申請手続きの難易度が高い代理店のキャッシュバック受け取れる顧客が確率
13:14 還元時期がものすごく遅い理由
15:37 代理店手数料戻入対策とは?
17:36 2ヶ月後にキャッシュバックできる代理店は優良企業
18:38 まとめ
19:05 顧客側が光回線を選ぶ時の注意点
引っ越しシーズンになってきて、今のネット回線を解約して引っ越し先で新たに申し込み直す人も多いと思います。
その時、キャンペーンサイトの窓口選択で嫌な思いをしないどころかお得にするための方法を元々内部に居たワイが完全解説します。
どの光回線のキャンペーンサイトを活用する時も同じだから参考にしてみてほしい。
【関連動画】
①【論理的解説】ドコモ光のプロバイダ選び方!カラクリがある【おすすめは…】
👉https://youtu.be/vnkX5INcWrk
②【光回線】IPv6とIPv4・IPoEとPPPoE接続の違いが素人でもわかる話【おすすめな選び方】
👉https://youtu.be/RovkiQpxshk
③【北海道エリア】NURO光対応確定!何気にキャッシュバック便乗上げも…【解説】
・https://youtu.be/EQjzMxk_dbg
TERUのツイッターはコチラ↓
・https://twitter.com/TERU_biz
#光回線
#キャッシュバック
#ネット回線
ipv4設定 在 [Windows系統] 固定IP設定 - 1010Code 的推薦與評價
3. 設定固定IP資訊. 進入後尋找網際網路通訊協定第4版(TCP/IPv4)並點選內容。 進入內容後將原本的自動取得IP改成使用下列的IP位置選項。 ... <看更多>