- Порезанный
- 4 сентября 2026 г. в 19:55 UTC
- Автор
- Kamo
- Обещать
- 2909805
Траефик запустил одну реплику, поэтому каждый ее перезапуск — развертывание, OOM, выселение — взял TLS всей платформы вниз. 192.168.4.22:443 не имеет локальной конечной точки, в то время как эта капсула исчезла. (externalTrafficPolicy: Local), узел попадает в сертификат по умолчанию rke2-ingress-nginx, И поскольку почти каждый роутер камо совпадает с HostRegexp, а не с Host, TLS решает исключительно с помощью SNI против TLSStore, который еще не загружен. Результатом является ERR CERT AUTHORITY INVALID. Орг сразу для ~11 требуется загрузить 190 сертификатов. - реплики 2. Оба остаются привязанными к k1m1, что является преднамеренным: публичный адрес NATs там и Внешняя политика: местная означает, что стручка в другом месте никогда не сможет ответить на нее. Купить Pod Level резервирование, а не узел-уровень — узел-уровень нуждается в плавающей VIP и является отдельной работой. - Собственный дренаж Траефика, который престоп-сон не может воспроизвести: на SIGTERM он продолжает принимать Запрос AcceptGraceTimeout (15s) в то время как /ping начинает отвечать на 503, поэтому зонд готовности выходит из строя и kube-proxy удаляет его из Сервиса, пока он еще служит. Скачать бесплатно GraceTimeOut (30) Завершить то, что открыто. ТерминалGracePeriodSeconds 30 -> 60, так что дренаж не сам по себе Убит на полпути. - minReadySeconds 15, и CI теперь ждет "статуса вылета" для траефика. Также добавлен каталог PodDisruptionBudget. Пространство имен Камо имело нулевые ПДБ, а пять других Пространства имен в этом кластере имели их, поэтому дренаж узла для обновления ядра выселил все На нем одновременно. README.md записывает правило и, что важно, почему развертывание одной реплики никогда не должен получить один — Миндоступно: 1 против реплик: 1 позволяет нулевые сбои и вбивает клинья Утечка навсегда, а не защита чего-либо. Промежуточное ПО «retry» определяется и предлагается как «kamo-middlewares-retry», намеренно как отдельной цепи, а не сложенной в камо-средние программы. Ретрит не везде безопасен: Траефик не перематывать тело запроса, поэтому повторное использование соединения, потерянного на полпути через вложение 3 GiB, отправляет сообщение усеченный, и он не может отличить запрос, который никогда не приземлялся, от принятого бэкэнда Он умер, прежде чем ответить. Внутренние приложения и api остаются в простой цепочке. Auto-cert теперь публикует сертификат по умолчанию на TLSStore, которым он уже владеет. SNI не отвечает ни на что реальным сертификатом платформы вместо встроенного Traefik самоподписанный. Написано там, а не как статический манифест, потому что авто-серта переписывает это. Записывайте каждую строку и перезаписывайте ее.