DevOps Portal | Linux

💻 Ошибки Kubernetes: подробный список (часть 1)

Ошибки Pod/контейнера

🔹CrashLoopBackOff — Причина: Контейнер продолжает падать из-за ошибок в приложении. — Первый шаг: Проверьте логи с помощью kubectl logs <pod> и отладьте приложение. 🔹ImagePullBackOff — Причина: Kubernetes не может загрузить образ контейнера из реестра. — Первый шаг: Проверьте название образа, учетные данные (если образ приватный) и убедитесь, что реестр доступен. 🔹ErrImagePull — Причина: Kubernetes не удалось загрузить образ контейнера. — Первый шаг: Убедитесь, что образ существует в реестре и его имя написано правильно. 🔹OOMKilled — Причина: Контейнер превысил лимит памяти. — Первый шаг: Увеличьте лимит памяти в спецификации pod или оптимизируйте приложение. 🔹ContainerCreating в течение длительного времени — Причина: Проблемы с монтированием томов, образами или kubelet. — Первый шаг: Проверьте привязки томов, статус образа и логи узла. 🔹Неудачная проверка Readiness/Liveness — Причина: Пробы неправильно настроены или приложение не отвечает. — Первый шаг: Проверьте настройки проб и убедитесь, что приложение готово.

Ошибки планирования Pod

🔹0/1 узлов доступны: 1 Недостаточно CPU — Причина: Узлы кластера не имеют требуемых ресурсов CPU. — Первый шаг: Масштабируйте кластер или отрегулируйте запросы ресурсов для pod. 🔹0/1 узлов доступны: Нет совпадений для селектора узла — Причина: Селекторы узлов в спецификации pod не совпадают с метками узлов. — Первый шаг: Обновите метки узлов или измените селектор узла в pod. 🔹0/1 узлов доступны: Правила Pod Affinity/Anti-affinity — Причина: Правила размещения pod препятствуют планированию. — Первый шаг: Проверьте и отрегулируйте правила affinity/anti-affinity в спецификации pod.

Ошибки с постоянным хранилищем

🔹VolumeMountConflict — Причина: Несколько pod пытаются смонтировать том в режиме ReadWriteOnce. — Первый шаг: Отрегулируйте режимы доступа к томам или конфигурацию хранилища. 🔹PersistentVolumeClaim в состоянии Pending — Причина: Нет подходящего PersistentVolume. —Первый шаг: Проверьте конфигурацию PV и убедитесь, что она соответствует требованиям PVC. 🔹Неудачное прикрепление тома — Причина: Ошибка прикрепления тома к узлу. — Первый шаг: Проверьте класс хранилища и логи облачного провайдера на наличие ошибок.

Ошибки RBAC и аутентификации

🔹Forbidden: Пользователь <user> не может просматривать ресурс <resource> — Причина: У пользователя или сервисного аккаунта нет необходимых прав. — Первый шаг: Создайте или обновите RoleBinding/ClusterRoleBinding. 🔹Unauthorized — Причина: Неверный или просроченный kubeconfig. — Первый шаг: Обновите токены, убедитесь в наличии правильных сертификатов или повторно войдите в кластер. 🔹Secret не найден — Причина: Секрет, указанный в спецификации pod, не существует. — Первый шаг: Создайте секрет или обновите pod, чтобы использовать существующий секрет.

Ошибки в управляющей плоскости и узлах рабочих

🔹etcdserver: запрос истек по времени — Причина: Кластер etcd не работает должным образом или перегружен. — Первый шаг: Проверьте логи и метрики etcd и убедитесь в правильном распределении ресурсов. 🔹Evicted — Причина: Давление на ресурсы узла (например, недостаточно диска, памяти или CPU). — Первый шаг: Освободите ресурсы или масштабируйте кластер. 🔹Узел испытывает давление на диск — Причина: Недостаточно места на диске узла. — Первый шаг: Очистите неиспользуемые образы или логи и мониторьте использование диска. 🔹Узел испытывает давление на память — Причина: Слишком высокое использование памяти. — Первый шаг: Определите процессы, потребляющие много памяти (top или htop), и оптимизируйте их или остановите. Рассмотрите возможность добавления памяти в узел. 🔹Узел испытывает давление по PID — Причина: Достигнут максимальный лимит процессов (PIDs). — Первый шаг: Увеличьте лимит PID в /etc/systemd/system.conf. Проверьте "блуждающие" процессы и оптимизируйте использование ресурсов.

Dockerfile: рекомендации и ошибки Типичный совет, который часто дают, — избегать использования кэша менеджера пакетов. На первый взгляд это кажется логичным, потому что: 🔹Последующие сборки не смогут повторно использовать кэш. 🔹Кэшированные файлы увеличат размер финального образа. ...но что если я скажу вам, что: 🔹Разные запуски команды docker build могут повторно использовать кэш менеджера пакетов. 🔹Кэшированные файлы не попадут в финальный образ. 🔹Кэш будет работать, даже если один из вышеуказанных слоев изменится. И все, что для этого нужно, это использовать инструкцию RUN --mount=type=cache. Вот пример для сборки образа с Python 👆 👉 DevOps Portal

Введите в вашем терминале эту команду:

watch -d -n 1 sensors

Это отображает данные о температуре CPU, GPU, Wi-Fi, NVMe SSD и HDD в реальном времени. Подробнее: https://cyberciti.biz/faq/howto-linux-get-sensors-information/ 👉 DevOps Portal

🚩 Единая точка входа в IT! Теперь всё, что нужно для твоего роста, собрано в одном месте: статьи, материалы, вакансии, задачи и вопросы с собеседований для каждого направления! Выбирай сферу и становись частью IT сообщества: 👩‍💻 Frontend 👩‍💻 Node.js 👩‍💻 Python 👩‍💻 Java 👣 Golang 👣 Rust 🖥 PHP 🖥 Ruby 👩‍💻 Android 👩‍💻 iOS 🖥 Общее IT 👩‍💻 QA 📆 Митапы 👨‍💻 Вакансии А также у нас есть собственная платформа для подготовки к собеседованиям! 🔹 Прогресс и история подготовки 🔹 Фильтры по технологиям и сложности 🔹 Интерактивные тренажёры для практики 🔹 4000+ вопросов для подготовки к собеседованиям 🔖 Всё для вашего направления — в одном месте, без лишних подписок.

💡🐧 Быстрый совет по Linux Команда ls — отличный инструмент командной строки для вывода списка файлов и каталогов в Linux. Однако lsd — это еще более современная альтернатива ls. Она добавляет значки, цветной вывод и делает представление информации более удобным и наглядным.

$ lsd -lah

Если команда lsd не установлена в вашей системе по умолчанию, обратитесь к документации вашей системы для инструкций по установке. 👉 DevOps Portal

⚙️ Руководство по сетевому программированию в Linux — LinuxNetworkProgramming Полный учебник, охватывающий всё: ✅ Основы сетевого программирования в Linux ✅ Работа с сокетами ✅ Создание HTTP/TCP-клиентов ✅ Использование неблокирующих сокетов ✅ Безопасная коммуникация с libcurl и OpenSSL 👉 GitHub: LinuxNetworkProgramming 👉 DevOps Portal

Совет IT-спецам на 2025 год - чаще посещайте тематические мероприятия Зачем тратить время на Ютубчик, когда можно интересно проводить время, при этом развивая свои навыки! А чтобы не гуглить афиши и не подписываться на сотню разных каналов, IT-мероприятия России уже собрали все самые топовые события в одном месте. Оффлайн и онлайн, для разных специальностей и уровней знаний. 👨🏻‍💻 В этом канале ты найдешь самые актуальные и интересные события: анонсы форумов, конференций, митапов, вебинаров, хакатонов, олимпиад и многое другое. Присоединяйся к комьюнити лучших спецов и заново влюбись в свою работу: IT мероприятия России / ITMeeting / IT events

DevOps Roadmap 2025 Этот дорожный план поможет вам освоить ключевые навыки и технологии, необходимые для того, чтобы стать успешным инженером DevOps в 2025 👉 DevOps Portal

Atuin Это инструмент для улучшения истории командной строки, заменяющий стандартную историю оболочки. Он сохраняет команды в зашифрованной базе данных, синхронизирует историю между устройствами и позволяет легко искать и фильтровать команды. Atuin поддерживает bash, zsh и fish, обеспечивая удобство работы с историей в терминале. 👉 https://github.com/atuinsh/atuin 👉 DevOps Portal

Нам сообщили, что многие тут хотят серьезно прокачать свой DevOps. Но не знают где взять информацию и четкий план. 💪 Советуем бесплатный мета-курс Devops Roadmap - это расширенный чек-лист, который поможет сориентироваться в мире DevOps и стать крутым спецом. 👀 В мета-курсе перечислены все основные разделы и навыки, которыми должен обладать DevOps инженер: от Linux до программирования в удобном формате. ✔️А еще он будет полезен при подготовке к собеседованиям. 👽 Кстати, бонусом крутой канал о девопс. Там тоже самые свежие IT-новости, полезные советы от DevOps-инженера с 20-летним стажем, эксклюзивные материалы, релизы топовых инструментов, обзоры вакансий и личный взгляд на девопс-сферу. 📌 Ну а тем, кто хочет двигаться под руководством наставника - индивидуальная программа.

👩‍💻 Основы сетевого взаимодействия Pod'ов — Основы Pod Networking 🔹 Уникальный IP для каждого Pod: Каждый Pod получает уникальный IP-адрес, действующий во всем кластере. 🔹 Общая сеть для контейнеров Pod: Контейнеры внутри одного Pod'а делят одно сетевое пространство (например, виртуальная "сетевая комната"). Они общаются через localhost и используют общий IP и порты. — Взаимодействие внутри кластера 🔹 Прямой трафик между Pod'ами: 1. Pod'ы могут общаться напрямую, даже если они находятся на разных узлах. Для этого не нужны прокси или NAT. 2. Исключение: Pod'ы на Windows, использующие host-сеть, не поддерживают это правило. 🔹 Node-агенты могут взаимодействовать с Pod'ами: Такие инструменты, как kubelet (агент узла), могут общаться со всеми Pod'ами на своем узле. — Сервисы: стабильный доступ к Pod'ам 🔹 API Service: Предоставляет стабильный IP/имя хоста для группы Pod'ов (например, backend-серверов). Пример: Frontend веб-приложения может подключаться к backend-сервису, не беспокоясь об изменении IP-адресов отдельных Pod'ов. 🔹 EndpointSlices: Kubernetes автоматически обновляет их для отслеживания активных Pod'ов, обслуживающих сервис. — Маршрутизация трафика и прокси 🔹 Service Proxy: Направляет трафик к нужным Pod'ам. — По умолчанию: kube-proxy (встроенный прокси Kubernetes). — Альтернативы: Некоторые сетевые плагины заменяют kube-proxy своими прокси (например, Cilium). — Внешний доступ к сервисам 🔹 Gateway API/Ingress: 1. Ingress: Устаревший способ предоставления внешнего доступа к сервисам (например, через HTTP-маршруты). 2. Gateway API: Современный и гибкий метод управления внешним трафиком (поддерживает сложную маршрутизацию и многокомандные настройки). 🔹 Тип LoadBalancer: Самый простой способ предоставить внешний доступ к сервису (работает с облачными провайдерами, такими как AWS или GCP). — Сетевая безопасность (NetworkPolicy) 🔹 Контроль трафика: Определяет правила, например: "Только Pod'ы frontend могут взаимодействовать с Pod'ом базы данных." 🔹 Не всегда поддерживается: Зависит от сетевого плагина (например, Calico поддерживает NetworkPolicy, а простые плагины могут не поддерживать). — Без ручной настройки сети 🔹 Автоматическое подключение: В отличие от старых систем (например, Docker links), Kubernetes автоматически управляет сетями. 🔹 Pod'ы как виртуальные машины: Подходите к Pod'ам как к отдельным серверам — не нужно вручную сопоставлять порты или управлять подключениями. — Как Kubernetes реализует сети 🔹 Kubernetes задает правила: Указывает, что должно быть сделано (например, Pod'ы должны общаться напрямую). 🔹 Внешние инструменты выполняют работу: 1. Container Runtime Interface (CRI): Настраивает сетевые пространства Pod'ов (общие для контейнеров внутри Pod'а). 2. CNI-плагины: Управляют реальной сетью Pod'ов (например, Calico, Flannel). 3. Сервисные прокси: Обрабатывают маршрутизацию трафика (например, kube-proxy или прокси плагинов). — Ключевые моменты для понимания 🔹Сеть Pod'ов vs. Host-сеть: 1. Сеть Pod'ов: Режим по умолчанию (Pod'ы получают уникальные IP). 2. Host-сеть: Pod'ы используют IP узла (редко используется, например, для инструментов мониторинга сети). 🔹 Устаревшие vs. современные инструменты: 1. Ранее требовалась ручная привязка портов (например, docker run -p 80:80). 2. Kubernetes автоматизирует этот процесс — ручная работа не требуется. 🔹 Примеры Gateway API: 1. Облачные: AWS Gateway API Controller, Google Cloud Gateway. 2. Универсальные: Istio, NGINX Gateway. 👉 DevOps Portal

Walk — это инструмент на Go, который позволяет рекурсивно обходить директории и выполнять команды для каждого найденного файла или папки. Ключевые особенности: 🔹 Простая команда для выполнения скриптов или операций над файлами. 🔹 Гибкость и высокая скорость работы. 🔹 Подходит для автоматизации задач, связанных с обработкой файлов. 👉 Репозиторий: https://github.com/antonmedv/walk 👉 DevOps Portal

⚡ Kali LInux — канал-гайд, который научит тебя хакингу и защите информации с нуля. Это кладезь полезной информации, первоисточник того, что появляется в платных гайдах и курсах. •Лучшие бесплатные курсы и книги по Этичному Хакингу и Информационной Безопасности. • Полезный репозиторий с подборкой ресурсов по хакингу • Где изучать Linux и хакинг. Бесплатные курсы •Виртуальная машина Linux для #OSINT на базе Ubuntu. •Целая папка полезных ресурсов для Хакеров и многое другое 🔈 Подписывайся, это самый простой способ научиться хакингу: @linuxkalii

Как скрыть процессы в Linux от других пользователей. Если запустить pstree, ps, htop можно увидеть процессы не только свои, но также системные и пользовательские. В левой колонке будут имена пользователей. Чтобы скрыть свои процессы от других пользователей, нужно перемонтировать /proc с опцией hidepid. Работает только с пользователями, рут будет по-прежнему в курсе запущенных процессов Параметр hidepid определяет какую информацию о процессах мы ограничим для пользователей, которые не являются владельцами этих процессов. Параметры которые можно задать: hidepid=0 - Включена по умолчанию, все видят всё, полный доступ к /proc/PID/. hidepid=1 - Разрешает обращаться к информации только о своих процессов. Часть файлов в каталоге /proc/PID/ защищена. hidepid=2 - Это тот же самый hidepid=1 + всё в /proc/PID будет невидимо для других пользователей. Запускаем от рута:

mount -o remount,rw,nosuid,nodev,noexec,relatime,hidepid=2 /proc

Теперь снова запускаем от обычного пользователя htop и наблюдаем, что выборка процессов пропала, и осталось +- 2, bash и htop. Естественно после ребута сервера, все это пропадет. Чтобы этого не произошло — монтируем /proc в fstab. Вставляем в /etc/fstab

proc /proc proc defaults,nosuid, nodev, noexec,relatime,hidepid=2 0 0

Встречаются приложения которые могут отвалиться. Для этого нужно зафиксить маунт с опцией gid=VALUE. Значением gid параметра может быть имя группы в системе, членам которой доступ к процессам будет разрешён. И затем маунтить /proc таким образом:

proc /proc proc defaults, hidepid=2, gid=devopsport 0 0

Добавляем пользователя от имени которого будет работать приложение/демон в эту группу и проверяем — если всё сделано верно, то приложение заработает как обычно. 👉 DevOps Portal

Визуализация процесса работы с Docker 👇 Давайте разберем основные термины с помощью аналогии: 🔹Dockerfile — Представьте Dockerfile как рецепт или набор инструкций. Вы начинаете с создания Dockerfile, который перечисляет все «ингредиенты» (программное обеспечение и конфигурации), необходимые для работы вашего приложения. 🔹Docker Image — Используя Dockerfile как рецепт, вы «готовите» или «собираете» Docker Image. Этот образ — как замороженный снимок вашего приложения, содержащий все, что нужно для его запуска. 🔹Docker Container — После создания Docker Image вы можете «подать его на стол», создав Docker Container. Контейнер — это как реальный работающий экземпляр вашего приложения. Его можно запускать, останавливать и даже клонировать по мере необходимости. Вы можете запустить любое количество контейнеров на основе одного образа. 👉 DevOps Portal

Что будете делать если у команды chmod убрали права на исполнение? 🔹 Используем утилиту setfacl. По умолчанию её может не быть в системе.

setfacl -m u::rwx,g::rx,o::x /usr/bin/chmod

🔹 Можно запустить утилиту chmod, передав её явно динамическому компоновщику. В контексте данной заметки считайте компоновщик интерпретатором для программы chmod. В разных дистрибутивах он может иметь разное название и расположение. Пример для Debian 11:

/usr/lib64/ld-linux-x86-64.so.2 /usr/bin/chmod +x /usr/bin/chmod**

🔹 Можно скопировать права с любого исполняемого файла и записать содержимое утилиты chmod в этот файл. Получается рабочая копия chmod. Создаём пустой файл с правами утилиты ls.

cp --attributes-only /usr/bin/ls ./new_chmod

Копируем содержимое утилиты chmod в созданный файл:

cat /usr/bin/chmod > ./new_chmod

Можно использовать:

/new_chmod +x /usr/bin/chmod

🔹 Почти то же самое что и предыдущий вариант только проще:

install -m 755 /usr/bin/chmod ./new_chmod

или так:

rsync --chmod=ugo+x /usr/bin/chmod ./new_chmod

🔹 Если умеете программировать, то, пример с Python: python -c "import os;os.chmod('/usr/bin/chmod', 0755)" 👉 DevOps Portal

📚 Коллекция книг для ИБ специалистов. • В нашем втором канале проходит небольшой розыгрыш, где победители смогут получить коллекцию актуальных и полезных книг для ИБ специалистов: - Сети глазами хакера; - Linux глазами хакера. 7-е издание; - Веб-сервер глазами хакера. 4-е изд; - Реагирование на инциденты на основе аналитических данных. 2-е издание; - Контролируемый взлом. Библия социальной инженерии. 2-е издание; - Linux. От новичка к профессионалу. 9 изд. • Каждый победитель получит сразу весь пул книг в бумажном варианте, которые перечислены выше. Принять участие можно тут: https://t.me/it_secur/2635 S.E. ▪️ infosec.work ▪️ VT

Автоматизируй всё с Ansible! Ansible — это мощный инструмент, который упрощает управление конфигурацией, развертывание приложений и оркестрацию задач. Статья рассказывает о лучших практиках использования Ansible и о том, как автоматизировать повседневные задачи, экономя время и силы. 🔛https://agralrst.medium.com/automate-everything-with-ansible-aac7eb4d5cf9 👉 DevOps Portal

Наткнулся на интересную штуковину — Linux Command Library Это просто находка для всех, кто шарит за Linux Огромная библиотека команд Linux, насчитывающая более 6000 страниц, причём всё раскидано по категориям, чтобы не путаться И всё это работает офлайн, без интернета и трекинга. Доступ как на сайте, так и в виде мобильного приложения, а исходный код можно найти на GitHub 👉 DevOps Portal

👩‍💻 Программирование — В С Ё В 2024 году на кодинге уже не вывезешь, перспектива года - Информационная Безопасность. Ловите полезные каналы, которые помогут ворваться в новое направление. 👍 ZeroDay — Уроки, эксплуатация уязвимостей с нуля 👍 Белый Хакер — Свежие новости из мира ИБ 😎 Арсенал Безопасника — Все необходимые инструменты 😎 Бункер Хакера — Статьи, книги, шпаргалки и хакинг 👨‍💻 Серверная Админа — Настройка и уроки по компьютерным сетям 📂Вступай и изучай новое направление!