DevUPs avagy botlásaim a konténerekkel

Docker kényszer?

Számtalanszor meghallgattam már, másoktól, hogy kéne használni a konténerizáció technológiát (bár alapvetően mindegyik szolgáltatás, amihez így közünk van az VM szinten van izolálva, megfelelő helyre rakva, megfelelő tűzfalakkal védve.) Ez viszont most egy különálló eset, egy különálló, felhőben futtatott VM, más projekt, más scope, és ha még kicsi is, pakoljunk bele mindent.

Minden alatt, pedig minden olyat szeretnék (vagy szerettem volna) használni, amit gondoltam, hogy akarok. Az nginx mellett még HAPROXY, a hoston futó webszerver, de mindez akkor jól kihasználható, ha mondjuk vannak mindenféle connection és egyéb limitáló tényezők, és mondjuk egy jól definiált GEOIP alapú szabályozás is. Természetesen nem ennyire tiszta a kép az induláskor, de vannak bajok az érkezési oldalon is.

Network mode-ok

Az elsődleges flusztráció az volt, hogy a 81-es portot nem tudtam UFW-fel bezárni. (tudom, hátulgombolós probléma) Rövid olvasgatás és hosszas chatGPT után kiderült, hogy az UFW és a docker alapértelmezett bridge network nem barátok, de megoldottam. a 81-es port localhost-ra került, és így nekem elérhető marad kényelmesen SSH port forward-al, a funkció pedig megy(en). És akkor nézzük meg, hogy hogy lehet egy HAPROXY-t telepíteni, természetesen akkor már ez is konténerben.

HOL A CONFIG

Egyre jobban szeretem ezt a világot. Kapok egy szoftvert, amit akár fel is tehetnék a host-ra, ahogy eddig, és akkor szállítja a konfigját, itt viszont akkor most nincs konfigurációs fájlom. Nem baj, túlélem az eddigieknek megfelelően. A management felületet ráeresztettem a proxy managerre, és ez is megy. De egyre inkább az az érzésem, hogy sajtreszelővel rejszolok.

Mentés

chatgpt-vel projektet tolni az olyan, mintha melletted lenne egy alapvetően elfogadó Sheldon Cooper, aki ugyan mindenhez pozitívan áll hozzá, de véletlenül sem azt fogja mondani, ami előre viszi a projektet. Ő csak válaszol a kérdésedre, és ha véletlenül már hibázott, akkor ez a hiba csak többszöröződni fog. Mindenesetre meglett a mentő script, is, hurrá. 20-30 domain-t nem akarok egyesével belekrampácsolni a proxy-ba vissza. (Maga a felvétel is több óra volt a domain címek átírásával és élesztésével).

Hoszt szervízek

Most itt vagyok bajban. Hova rakjam és hogy érjem el a localhost-on futtató webszervert, ami alapfeltétele a nagiosnak, mert arra már nem vagyok hajlandó hogy ezt is bekonténerizáljam. Akármerre és megyek eddig is, nem vagyok róla meggyőződve, hogy a nagios belevaló ebbe a szép új világba. Túlságosan összetett, túlságosan szerteágazó ahhoz, hogy így leegyszerűsítsük.

Docker host vagy bridge network

Itt tartok most. Hova tegyem a reverse proxy-t. Vannak érvek a host és vannak érvek a bridge mellett is, bevallom én a host fele húzok. Egyszerűbbnek érzem a további szolgáltatások elérését (bár nem vagyok meggyűzűdve arról, hogy rendesen elérem-e a konténerizált funkciókat), a host tűzfala egyértelműen és egyszerűen kezelné a bejövő portokat, viszont a bridge network mellett van egy olyan érv, amivel nehezen tudok mit kezdeni, de vitatkozni is. A szeparáció. Mert ha megb@sszák a konténert, akkor könnyebb menni a hostra illetve a további szolgáltatásra, DE!

Akkor most nem bízhatom a konténerizált szervízben, vagy nem? Vagy alapvetően semmiben sem kellene bíznom, mert most már ZERO TRUST van, a szép új világ. De ha semmiben nem bízom, akkor miért bízzam a dockerben és a docker hálózatban, vagy akor mennyivel biztonságosabb/egyszerűbb/hatékonyabb ez a szolgáltatás csoport úgy, ahogy van a hostra telepített funkciók szempontjából? Mondjuk a proxy managert nem szeretném elengedni, mert kurva kényelmes, és ez az igazi baj.... .

Itt tartok most, és meg is álltam egy kicsit. Úgy érzem kell egy kis levegő ahhoz, hogy tovább menjek a gondolkodásban és a felismerésekben. Egyszerűen több információ és tapasztalat kell, és nem feltétlenül a chatGPT-től.