杂烩饭

单项认证只需要服务器提供证书即可, 不验证客户端证书, 而双向认证需要验证服务器证书,也需要验证客户端证书, 不满足要求的客户端可以不允许其访问, 并且可以通过后期吊销证书的方式禁止其访问. 证书签名可以参考: 使用certbot自动申请ssl证书 使用acme.sh来自动更新https证书 制作和使用自签名证书 本文提到的 client.crt server.crt 都是通过 ca 签发的 服务器配置Nginx 配置: 代理配置比如服务器是开启了双向认证的, 我想用一台 Nginx 做代理, 证书都绑定到这台代理机器上面, 平常访问就访问这台代理 Nginx 就行了, 客户端不用再配置证书了. Nginx 配置: 如果你遇到访问 nginx 报错 502 的，恰好你的系统又是 RedHat 系， 可以尝试关闭 Selinux 使用 curl 测试

在很多使用到证书的场景, 比如 HTTPS, 可以选择去申请一个免费的证书, 也可以尝试自签名证书, 申请免费证书请看:使用certbot自动申请ssl证书 或者 使用acme.sh来自动更新https证书, 本文介绍自签名证书. 可以直接使用我制作好的工具，支持自签名 HTTPS 证书和双向认证证书，纯 shell 脚本，支持 Docker 使用，一键生成证书：https://github.com/iuxt/my_cert SSL 协议加密方式SSL 协议即用到了对称加密也用到了非对称加密 (公钥加密)，在建立传输链路时，SSL 首先对对称加密的密钥使用公钥进行非对称加密，链路建立好之后，SSL 对传输内容使用对称加密。 对称加密 速度高，可加密内容较大，用来加密会话过程中的消息。 公钥加密 加密速度较慢，但能提供更好的身份认证技术，用来加密对称加密的密钥。 CA 证书生成 CA 私钥 生成一个 ca.key 文件 生成 CA 证书非交互式创建交互式创建 需要交互式输入: 提示 含义 输入内容 Country Name 国家 CN State o...

常见的使用 Nginx 进行防盗链配置是利用了 referer, 也就是来源地址来判断, 只要不是白名单中的地址, 就禁止访问, referer 是比较有效的方式, 但是可以轻松绕过, 目的是为了防止页面被别人复制粘贴我们的文章, 图片等资源依然使用我们的连接, 占用带宽或流量造成费用. 白名单模式这种模式就是在白名单之外的所有域名都不能请求我们的图片等资源 配置示例: 黑名单模式未完待续…

kubernetes 每次更新资源会记录资源的历史版本， 方便我们进行回滚操作。真的 k8s 解决了很多运维的痛点问题, 想起来以前没有用 k8s 的时候,用 jenkins 和 ansible 来做的发布和回滚… 查看历史版本 这里列出的就是版本， 为什么没有 3， 因为从版本 4 回滚到了版本 3， 则版本 3 就变成了版本 5 查看指定版本详情 回滚到指定版本 回滚到上一个版本可以不用增加 --to-revision=4 参数, 默认就是回滚上一个版本 记录版本变化执行命令记录变化在第一步查看历史版本, CHANGE-CAUSE 显示的是 none, 如果需要记录 kubectl 执行的命令,则执行命令的时候需要添加参数 这样就会把当前的命令记录到版本的 CHANGE-CAUSE 这一栏 设置历史版本数量在 yml 文件里面可以设置历史版本的数量, 比如: 查看历史版本如果只是更新了镜像，可以通过命令查看历史的镜像版本：

单节点升级 master 总体来说就是两步， 先修改 apiserver 地址为负载均衡地址，然后添加新的 master 节点。 搭建集群的时候我们注意一下就可以减少后期维护的烦恼，比如： 使用 hostname 而不是 ip 来作为 kube-apiserver 地址 单节点也把负载均衡安排上 假设已经有一个没有负载均衡的单节点 master，现在想将它切换为高可用集群，记录以下步骤： 部署负载均衡参考 Kubernetes之master高可用方案 更新证书 因为我们部署了负载均衡，所以需要通过负载均衡的地址来访问 apiserver，因为证书是针对域名或者 ip 做的签名，如果 ip 变了证书就失效了，这也是为什么建议使用 hostname 来代替 ip 如果你是用 kubeadm init 来创建的集群，那么你需要导出一个 kubeadm 配置 添加证书 SANs 信息 生成新的证书备份旧证书 生成新的证书 验证证书，确定包含新添加的 SAN 列表 重启 apiserver 保存新的配置这步操作其实是把 kubeadm 的配置给保存在集群中， 以...

kubeasz 是基于 ansible 和 shell 制作的工具，可以快速搭建一个高可用的 k8s 集群（二进制部署），不需要额外的负载均衡。项目地址：https://github.com/easzlab/kubeasz, kubeasz 每个版本对应了支持的 k8s 版本, 可以到项目主页查看, 这里使用 kubeasz 版本 3.6.3, 部署 k8s 1.29.0 另见 kubeadm 部署在centos使用kubeadm部署k8s在ubuntu使用kubeadm部署k8s 安装准备准备机器如下： 机器 IP kubeasz 操作机 10.0.0.7 master1 10.0.0.31 master2 10.0.0.32 master3 10.0.0.33 worker1 10.0.0.41 首先确保操作机可以通过 ssh 连接到其他所有机器，最好密钥打通（这是使用 ansible 的必要条件） 安装 kubeasz下载 ezdown 部署工具 下载 kubeasz 离线包等下载的文件位于 /etc/kubeasz/ 目录中。 部...

基于 centos 使用 kubeadm 搭建集群， ubuntu部署文档, 有疑问的地方可以看 官方文档 准备机器 我的机器详情如下, 配置至少为 4C4G hostname IP 作用 public 10.0.0.3 ingress 和 apiserver 的负载均衡，nfs 存储 master1 10.0.0.11 k8s master 节点 master2 10.0.0.12 k8s master 节点 master3 10.0.0.13 k8s master 节点 worker1 10.0.0.21 k8s worker 节点 worker2 10.0.0.22 k8s worker 节点 每台机器都做域名解析，或者绑定 hosts(可选但建议) 每台机器都关闭防火墙和 SELinux 负载均衡机器必须要关闭,因为 6443 不是 nginx 的标准端口,会被 selinux 拦截, 防火墙也需要放行 6443 端口, 可以考虑直接关闭 基础环境配置 基础环境是不管 master 还是 worker 都需要的环境 ...

将闲置的树莓派做个共享服务器，在家里面存一些文件用。将树莓派和移动硬盘盒都已经改装好了，固定在了一起，用一块 12864 来显示一些信息，比如磁盘空间占用等。 树莓派 3B+ 的千兆网口和 usb 接口相当于是一个 usb2.0 hub 分出来的， 速度根本达不到千兆，还抢占 usb 的带宽。实测速度 20M/s 左右（硬盘速度能跑到 100M/s） 遇到的问题每次关机或者重启的时候，都会遇到硬盘吱~的一声，这种情况是操作系统关机的时候没有通知硬盘磁头归位直接断电， 这样硬盘会自己将磁头归位，就会有声音。时间久了对机械硬盘是一种损伤。 参考http://www.linux-ata.org/shutdown.html 解决方案查找硬盘启停配置在 linux 系统里面，一切皆文件，硬盘的各种信息也不列外。我们可以到 /sys/class/scsi_disk/ 找自己的硬盘，可以通过查看硬盘的型号来确定 文件 manage_start_stop 就是配置磁头归位的，只需要将此文件内容设置成 1 即可。需要每次开机后都执行。 也可以批量对所有硬盘执行这个操作...

调度器Scheduler 是 Kubernetes 的调度器，主要的任务是把定义的 pod 分配到集群的节点上。听起来非常简单，但有很多要考虑的问题： 公平：如何保证每个节点都能被分配资源 资源高效利用：集群所有资源最大化被使用 效率：调度的性能要好，能够尽快地对大批量的 pod 完成调度工作 灵活：允许用户根据自己的需求控制调度的逻辑 k Scheduler 是作为单独的程序运行的，启动之后会一直监听 API Server，获取 PodSpec.NodeName 为空的 pod，对每个 pod 都会创建一个 binding（必须遵守的），表明该 pod 应该放到哪个节点上 调度过程调度分为几个步骤： 首先是过滤掉不满足条件的节点，这个过程称为 predicate（预选）； 然后对通过的节点按照优先级排序，这个是 priority（优选）； 最后从中选择优先级最高的节点。 Predicate（预选）有一系列的算法可以使用： 算法 说明 PodFitsResources 节点上剩余的资源是否大于 pod 请求的资源 PodFitsHost 如果 pod 指定...

使用 acme.sh 可以自动申请 let’s encrypt 证书，并且可以自动配置到 nginx，整个过程可以全自动。也可以使用 certbot，certbot 基于 acme.sh使用certbot自动申请ssl证书 安装推荐安装 socat 安装 acme.sh 退出终端，重新登陆后，执行 acme.sh 有输出，说明安装成功了。 配置邮箱 配置默认 CA新版默认 zerossl，也可以手动切换为 let’s encrypt 申请证书acme.sh 实现了 acme 协议支持的所有验证协议.一般有两种方式验证: http 和 dns 验证. 使用 dns api 自动申请官方说明: https://github.com/acmesh-official/acme.sh/wiki/dnsapi DNSpod这里以 dnspod 为例，申请一个 dnspod 的 api key 将 id 和 key 记录下来，执行 执行一次就会把 id 和 key 记录在 ~/.acme.sh/account.conf，下次再执行就不用再提供 id 和 key 了 如果找...