41582 2021-12-16 19:02:14 +0300 не работает резолвер в официальном докер-контейнере p10 2024-05-31 16:31:02 +0300 1 1 7 Virtualization Docker Official image не указана x86_64 Linux NEW P5 normal --- 1 rider geochip aen cas glebfm ldv rider shaba obirvalger oldest_to_newest 206130 0 rider 2021-12-16 19:02:14 +0300 в нашем официальном докер контейнере не работает резолвинг имён, пока не сделаешь update_chrooted all и это приводит к массе проблем у запускаемых сервисов. 206131 1 rider 2021-12-16 19:03:45 +0300 @ldv я так понял по объяснению Миши, что в докер-контейнере невозможно при каждом запуске делать update_chrooted. Соответственно остаётся только один вариант - это опционально вытащить резолвер из чрута. Может быть такая настройка уже есть ? я просто не в курсе. 206132 2 rider 2021-12-16 19:13:13 +0300 хотя не работает в любом официальном докер контейнере. 206133 3 ldv 2021-12-16 19:26:00 +0300 (In reply to Anton Farygin from comment #1) > @ldv я так понял по объяснению Миши, что в докер-контейнере невозможно при > каждом запуске делать update_chrooted. Каждый, кто может поменять /etc/resolv.conf в контейнере, может запустить update_chrooted в нём. 206134 4 rider 2021-12-16 19:27:24 +0300 может, но он про это никогда не узнает, т.к. в докере запускается приложение, а не скрипты. есть ENTRYPOINTS, но для официального образа их делать бесмысленно, т.к. выполняется только последний и будет перезаписан первым же Dockerfile. 206135 5 rider 2021-12-16 19:28:25 +0300 т.е. - остаётся только патчить сам докер на этот предмет, но проблема в том, что врятли такой alt-specific патч попадёт в апстрим, а хостом для альта может быть не только альт. 206137 6 ldv 2021-12-16 20:40:00 +0300 (In reply to Anton Farygin from comment #4) > может, но он про это никогда не узнает, т.к. в докере запускается > приложение, а не скрипты. То же самое касается и обычной системы: если приложение меняет /etc/resolv.conf, то оно должно выполнить update_chrooted conf. Единственное, чем обычная система отличается от докера в лучшую сторону - при старте системы на всякий случай выполняется update_chrooted, а в случае с docker, как ты написал, этого не происходит. > есть ENTRYPOINTS, но для официального образа их делать бесмысленно, т.к. > выполняется только последний и будет перезаписан первым же Dockerfile. Получается, что приложение, которое меняет /etc/resolv.conf, обязано выполнить update_chrooted conf самостоятельно. 206138 7 shaba 2021-12-16 21:19:05 +0300 Я не понимаю, как связаны nginx и update_chrooted. Может кто-нибудь объяснить? 206139 8 ldv 2021-12-16 21:22:15 +0300 (In reply to Alexey Shabalin from comment #7) > Я не понимаю, как связаны nginx и update_chrooted. Может кто-нибудь > объяснить? update_chrooted связан с ping'ом. Если nginx запускает ping, то nginx связан с update_chrooted, если нет, то нет. 206140 9 rider 2021-12-16 21:47:11 +0300 я тоже не понимаю, но резолвинг имён uplink'ов в nginx не работает, пока не сделать update_chrooted. А не работает он по простой причине: /var/resolv/etc/resolv.conf - пустой. 206142 10 ldv 2021-12-16 22:51:58 +0300 (In reply to Anton Farygin from comment #9) > я тоже не понимаю, но резолвинг имён uplink'ов в nginx не работает, пока не > сделать update_chrooted. > > А не работает он по простой причине: > /var/resolv/etc/resolv.conf - пустой. Может, спросить мантейнера nginx, каким образом nginx использует /var/resolv/etc/resolv.conf? Можно ведь и update_chrooted conf выполнять на старте nginx, если это действительно нужно. 206156 11 rider 2021-12-17 09:40:50 +0300 nginx заработал, Миша что-то поправил в образе докера для nginx. Но ping всё ещё не работает. 206169 12 obirvalger 2021-12-17 15:02:52 +0300 Сделал для nginx специальный образ, который с помощью специального entrypoint.sh перед запуском самого nginx, запускает update_chrooted all. Но в базовом образе это безполезно делать, так как при построении новых образов от него поля ENTRYPOINT и CMD не наследуются. А напрямую задаются тем, кто делает производный образ. 206170 13 rider 2021-12-17 15:04:13 +0300 да, ping у меня тоже работает с новым образом nginx. Но проблема с базовым образом остаётся - все наши пользователи должны не забыть написать правильный entrypoint 206174 14 obirvalger 2021-12-17 15:27:41 +0300 Сделал для nginx специальный образ, который с помощью специального entrypoint.sh перед запуском самого nginx, запускает update_chrooted all. Но в базовом образе это безполезно делать, так как при построении новых образов от него поля ENTRYPOINT и CMD не наследуются. А напрямую задаются тем, кто делает производный образ. 206176 15 ldv 2021-12-17 16:16:17 +0300 (In reply to obirvalger@altlinux.org from comment #14) > Сделал для nginx специальный образ, который с помощью специального > entrypoint.sh перед запуском самого nginx, запускает update_chrooted all. Кто-нибудь знает, зачем это нужно для самого nginx? Мне очень не нравится, что вы вносите какие-то изменения, не понимая природы явления. > в базовом образе это безполезно делать, так как при построении новых образов > от него поля ENTRYPOINT и CMD не наследуются. А напрямую задаются тем, кто > делает производный образ. А кто, когда, и зачем меняет /etc/resolv.conf? 206177 16 rider 2021-12-17 16:20:54 +0300 Дима, nginx использует обычный gethostbyname для резолвинга хостов по имени из pool'а. 206178 17 ldv 2021-12-17 16:25:28 +0300 (In reply to Anton Farygin from comment #16) > Дима, nginx использует обычный gethostbyname для резолвинга хостов по имени > из pool'а. Обычный gethostbyname смотрит в обычные /etc/nsswitch.conf и /etc/resolv.conf, а не в /var/resolv/. Поэтому я и спрашиваю, что такого необычного делает nginx, что ему важно содержимое /var/resolv/. 206179 18 rider 2021-12-17 16:31:54 +0300 я посмотрю попозже, сейчас мне некогда. По коду ничего такого специального не видно, надо его погонять под отладкой. 206180 19 obirvalger 2021-12-17 16:35:16 +0300 > А кто, когда, и зачем меняет /etc/resolv.conf? Докер при запуске контейнера задает /etc/resolv.conf. Вся сеть настраивается докером снаружи, в самом контейнере не происходит настройки сети. 206182 20 ldv 2021-12-17 17:10:02 +0300 (In reply to obirvalger@altlinux.org from comment #19) > > А кто, когда, и зачем меняет /etc/resolv.conf? > > Докер при запуске контейнера задает /etc/resolv.conf. Вся сеть настраивается > докером снаружи, в самом контейнере не происходит настройки сети. Т.е. докер тупо несовместим с ALT с момента появления docker и по настоящий день? Получается, что нужно пропатчить docker и/или использовать другой инструмент для корректного запуска docker-контейнеров. (это не объясняет таинственный эффект nginx, но объясняет эффект ping) 206183 21 obirvalger 2021-12-17 17:13:51 +0300 (Ответ для Dmitry V. Levin на комментарий #20) > Т.е. докер тупо несовместим с ALT с момента появления docker и по настоящий > день? Да. 206202 22 rider 2021-12-18 10:05:38 +0300 я допускаю что с nginx была какая-то ещё одна проблема, не связанная с ping. Но т.к. в нашем докер контейнере есть только ping из инструментов для диагностики резолвинга, а он не работает, то я и подумал что проблема с резолвингом. Это не отменяет необходимости сделать альт совместимым с докером. а так же с другими типами контейнеров, у которых нет процесса иникиализации и приложение запускается в изолированном окружении.