- Expédié
- 4 septembre 2026 à 19:55 UTC
- Auteur
- Kamo
- Commite
- 2909805
Traefik a dirigé une seule réplique, donc chaque redémarrage de celle-ci - un déploiement, un OOM, une expulsion - a pris L'ensemble de la plate-forme est TLS à bas. 192.168.4.22:443 n'a pas de critère d'évaluation local pendant que cette gousse a disparu. (ExternalTrafficPolicy: Local), le noeud tombe à l'acte par défaut rke2-ingress-nginx, Et parce que presque tous les karmo matchs sur HostRegexp plutôt que sur Host, TLS se résout uniquement par SNI contre un TLSStore qui n'est pas encore chargé. Le résultat est ERR-CERT-AUTHORITY-INVALID sur chaque orgg à la fois pour les 11 s qu'il faut pour charger 190 certificats. - répliques 2. Les deux restent épinglés à k1m1, ce qui est délibéré: le public adresse les NAT là-bas et externalTrafficPolicy: Local signifie qu'une dosette n'importe où ailleurs ne peut jamais y répondre. Il achète le niveau de la pod redondance, pas de niveau noeud - le niveau du nœud a besoin d'un VIP flottant et est un travail séparé. - Le drain de Traefik, qu'un préStop de sommeil ne peut pas reproduire: sur SIGTERM, il maintient ACCEPTING pour requestAcceptGraceTimeout (15s) pendant/de départ de la réponse 503, de sorte que la sonde de préparation échoue et kube-proxy l'élimine du Service alors qu'il sert encore. Puis jusqu'à graceTimeOut (30s) finir ce qui est ouvertGracePeriodsSecond 30-z 60 de sorte que le drain n'est pas lui-même SIGKILLED à mi-parcours. - minReadySeconds 15, et IC attend maintenant le statut d'initié pour traefik. Ajout également d'un répertoire PodDisruptionBudget. L'espace de noms kamo avait des PDB à cinq autres les espaces de noms sur ce cluster les avaient, donc un drain d'un nœud pour une mise à jour du noyau a été expulsé tout dessus simultanément. README.md enregistre la règle et, surtout, pourquoi un déploiement d'une seule réplique ne doit jamais obtenir un - minDisponible: 1 contre les répliques: 1 ne permet aucune perturbation et calibrage Éviter éternellement plutôt que de protéger quoi que ce soit. Un middleware «retry» est défini et proposé comme «kome-middlewares-retry», délibérément comme un une chaîne séparée plutôt que pliée en frimoire. Le rétrécissement n'est pas sûr partout: Traefik le fait ne pas rembobiner un corps de demande, donc réessayer une connexion perdue à travers une pièce jointe de 3 GiB envoie un tronqué, et il ne peut pas distinguer une demande qui n'a jamais atterri d'un valorisation accepté Et est mort avant de répondre. interne., applis. et api. reste donc sur la chaîne ordinaire. auto-cert publie maintenant un certificat par défaut sur le TLSStore qu'il possède déjà, donc une poignée de main dont SNI ne répond à rien avec un véritable certificat de plate-forme au lieu de l'intégrateur de Traefik auto-signée. Écrit là plutôt que comme un manifeste statique parce que l'auto-cert réécrit qui stocker chaque boucle et l'aurait écrasée.