[kaabakas]

Selles asja point ongi. Dockeri community ei oska asju hoida turvalise ja ajakohasena. Tegemist on lastega, kellele on mootorsaag kätte antud. Jah, küllap nad võtavad puid maha küll, aga puud on peade ja jalgadega läbisegi hunnikus nii et keegi ei tea, keda ja mida kust otsast laasida, kokku lappida või välja vedada.

Dockeri community koosneb tegelastest, kelle meelest 777 on vastus failiõiguste probleemidele, kelle meelest tulemüür on ebaoluline, kui seda on liiga keeruline konfida, ja kelle meelest andmebaase võib netti üles panna ilma paroolita. Aga mis nende meelest on väga okei on netist mingi käkk kokku kopipasteda ilma absoluutselt huvi tundmata, mis see on või mida see teeb mida nad kopivad. Ja absoluutselt igaüks neist usub, et docker on mingi imeasi millega korrektsus ja turvalisus ja purgiõlu iseenesest kaasa tulevad, sest kuskil upstreamis oli keegi kes selle nende eest ära tegi.

Aga ei tulnud, ei olnud, ei teinud. Upstream on liiga üldotstarbeline, et sinu eest otsuseid teha. Ja kui sa jalutad seda otsuste ahelat mööda algusesse tagasi, siis tee peal leiad ainult ühe tegelase teise järel, kes isegi enda eest otsuseid ei teinud, rääkimata siis järgmise venna või sinu eest. Keegi peab igal sammul kvaliteetse tulemuse nimel vaeva nägema, ja tuleb välja, et dockeri puhul ei, mitte keegi, mitte ühelgi sammul. Kaasa arvatud lõppkasutaja, kes täpselt samamoodi nagu iga teine vend selles ahelas on küll piisavalt tark, et omale mingi värk kokku pasteda, aga kellel pole õrna lootustki aru saada, mis seal toimub.

Ma tahaks et see oleks nali, mida ma räägin, aga ei. Ma puutun selle jamaga regulaarselt kokku. Ma täitsa usun, et kuskil maailmas on olemas adekvaatne dockeri deployment, aga see ei ole communytis, see on kuskil kus inimesed teavad, mida teevad.

Selle pärast ma soovitangi. Jäta see jama ära ja ehita endale süsteem asjadest, millest on lootus aru saada. Nii võib veel juhtuda, et õpid ka midagi.

[RassK]

Seda sama juttu võiks rääkida väga paljude süsteemide kohta. Ala anna vaid C# / Java vms suvalisele pärdikule kätte ja on jama kui palju enterprise süsteemis.

Piltlikult öeldes ega see Dockeri konteiner on nagu .exe Windowsis ainult natukene infrat lisaks softile kaasas.
Kas sa ka pigem tõmbad gitist src'i ja kompileerid omale softi või usaldad valmis .exe't. Sealt võiks edasi paranoias minna oi oi kui palju, kas ikka kompileerjat usaldad? vb mõni tiinekas sai PRi mergetud public projekti, või mis siis kui Linuxi kernelis on juba kahtlast koodi.

Tagantjärgi tarkusena oleks öelnud omast kogemusest, et kõik oleks olnud korras kui Dockeri data jaoks oleks olnud teine partitutsioon.
Ega see ruuter muidugi 100% õige koht polnud selle jaoks aga loomkatseks käras küll. Vähemalt kui ruuter oli üleval oli 99% ka DNS, mis eraldades poleks sugugi nii olnud.

[Etz]

kaabakas, see pole siin Dockeri teema ja keegi ei käsegi sul valmis imagesid kasutada.
Kui compose ja oma baseimage tegemine üle jõu käib, pole Docker sinu jaoks...

[kaabakas]

Ei kasutagi. Kui ei ole dockeri teema, miks sinagi siis offtopicut ajad siin:) Aga kui on ülekattuvus teemadel docker ja mikrotik, millises teemas seda siis arutada?
Reaalsus on paraku selline et 99% maailma kasutab valmis imageid, ja see ongi 99% dockeri point. Tobe küll, aga nii on. Kes ise aru saab mis image sisse käib ja kuidas seda teha, sellel pole jällegi 99% dockerit vaja enam.

[SKG]

[RassK]

Vb kui piisavalt tihti näperdada äkki kulub ajju ükskord, et krt tee confist backup

[maty]

Kuidas keegi CAKE (või mingit muud nt fq codel) on konfinud?

Ühes YT videos oli näiteks selline:

[kaabakas]

Eks ta suht nii on jah. Kui proset jätkub, siis cake, kui mitte, siis codel. Endal sai konfitud cake, triple isolate ja diffserv4. Millegipärast märkisin tulemüüris download/upload paketid ära ka et queues märki kasutada, ei mäleta enam aga küllap siis oli vaja. Testides saad panna limiti näiteks 100M peale ja vaadata kas bufferbloat kaob ära või mitte. Kui on tööle saanud, ehk bloat kadunud, siis lükkad limiidi 200 peale üles tagasi ja hakkad 5M kaupa alla tulema kuni bloat langeb aksepteeritavale tasemele.
Tiku wikis soovitaks artiklid läbi lugeda, ja bufferbloati rahva enda juttu ka, asjad tulevad alati paremini välja kui aru ka saad, mida teed.

[Etz]

kaabakas, võid ka no-mark kasutada ning kogu märkimata liikluse sinna kühveldada.
Sedasi jääb ka fasttrack tööle. Triple isolate on IMHO täiesti ebavajalik ja üks Cake dev’idest (kes MT foorumis vahets sõna võtab) soovitab samuti pigem dual’it kasutada.

Endal on mul sedasi konfitud:

[maty]

Selline tulemus: https://www.waveform.com/tools/bufferbloat?test-id=10a25479-8f2c-4e90-be85-a4c98800130b

Hetkel võib vist rahule jääda, umbes nädala pärast saan põhjalikumalt uurida selle kohta (tiku wiki jne) ja seadistada.

[Etz]

maty, kui sul on lingi kiirus 200M, siis selleks et Queue üldse rakenduks, peab sul max-limit olema väiksem kui lingi max kiirus.
Vastasel juhul on see kõik kasutu, sest ainumatki paketti ei queuesse ei saadeta.
Ega ma asjata oma 500M linki, 475M peale ei shape.

[maty]

Etz, panin max-limit väiksemaks.

[RassK]

Sellel queuel on kodus mingi nähtav kasutegur ka? Või te tõmbate tihti 500M lingi umbe?

[Etz]

[kaabakas]

Mind huvitas eelkõige see et kontorirahvas saaks oma üle-neti koosolekuid pidada sõltumata sellest, kas keegi teine või isegi nad ise parasjagu millegi muuga linki ummistavad. Kodus võiks kasu olla tast niipalju et mängude ping ei sõltu lingi muust koormusest.

[XeStAiSy]

Kas kellelgi on õnnestunud porti hex S peal suunata kui SFP pulk kasutusel WANina bitid baidid liiguvad pordi peal kuid ligi ikkagi ei lase. 1 port vaja suunata, sillana kasutada ma väga ei taha. Väljast sisse ei saa sinna porti.
Samas ma pole üksi ja ainuke kellel portmapping ei toimi või sellega on mingi kiiks juures kuskil. Igasugused valikuid proovinud ei toimi. Hetkel on sillana kasutusel nii saab ligi kui arvuti saab välise IP. Standard valikuga ei lase läbi NATi isegi nupp olemas portmappinguks paned pordi, ip ja peaks nagu toimima kuid muffigi. Isegi sisevõrgust väline ip ei võta jutule.

[skyTronic]

dst-nat confisid?
mida /ip firewall nat print näitab?
https://help.mikrotik.com/docs/display/ROS/NAT

[kaabakas]

SFP pulgaga pole siin tõesti midagi pistmist, tulemüüri konfimise taga on asi kinni.
Pordisuunamise jaoks on vaja forward chain reeglit, mis lubab paketi tulemüürist läbi, ja dst-nat reeglit, mis suunab ta õigesse kohta.

[XeStAiSy]

ok ma täpsustan veel. Läheb vähe aega.

[newarvuti]

[XeStAiSy]

Muidu netti ei saa kui SFP pesa pole WAN. Ma olen selle pikalt saatnud juba sest kuskil migit infot pole mida teha. Muud toimivat lahendust pole kui ainult sild, google palju ei aita ka. Katsetused on ikkagi lõppenud tulemuseta. Pole ka aidanud ei tulemüüris pordi kirjed kui ka NAT pordi suunamised. Ma võiks terve confi kuhugi laadida või kellegi väljast sisse lasta confima kuid see oleks PS teema. Kui ma ise näeks kuidas peaks asi välja nägema saaks jälile. drop not from lan keelata siis saab ligi kui passwordi annan ja ip kui keegi viitsib vaadata.

[kaabakas]

https://wiki.mikrotik.com/wiki/Manual:IP/Firewall/NAT#Destination_NAT

[skyTronic]

Kas sellel pal reegli counter suureneb? Võib-olla pal serveri firewall ei ole õigesti confitud.

Selline forward reegel peaks ka olema Mikrotikis (ja see peab olema enne mingit default drop reeglit):

[XeStAiSy]

ma proovin neid variante kindlasti on vaja ka firewallis midagi teha. Või ei saa ruuterist välja 1 kahest, kuskilt liiguvad count on näha isegi kui sever üleval ilmub nähtavale kuid keegi sisse ei saa seal on tegelt 2 porti kuid 8211 on see mida vaja. Ja udp ainult mõlemad. Või on äkki ka midagi veel seda kuskil märgitud pole. Ei tohiks rohkem midagi olla arvuti firewallis on ainult 8211 lubatud ja toimib kui võrgukaart väljast ip saab. Homme purgan või õhtu hilja või tekib kellelgi paremaid ideid.

[skyTronic]

Windowsi tulemüüril on erinevad profiilid. Võib-olla Windows paneb public profiili peale kui DHCP-st mitte LAN IP saab ja see pal reegel on ehk ainult public profiiliga lubatud.