【Kubernetes】K8S学习阶段知识总结（二）
你能讲清楚污点和容忍度吗？
当Kubernetes集群中的节点出现故障或需要维护时，管理员可能需要将工作负载从一个节点移到另一个节点。但是，将工作负载迁移到另一个节点可能会导致节点过载或资源不足，从而影响其他工作负载的性能。因此，Kubernetes提供了污点和容忍度的概念，用于控制工作负载可以在哪些节点上运行。
污点（Taint）是指在节点上设置一个标记，表示该节点“有问题”，即不适合运行某些工作负载。容忍度（Toleration）是指在工作负载上设置一个标记，表示该工作负载“能够容忍”某些污点。当节点上有污点时，只有那些具有相应容忍度的工作负载才能在该节点上运行。
具体来说，可以通过以下步骤实现污点和容忍度：
在节点上设置污点
可以使用以下命令在节点上设置污点：
kubectl taint nodes \<node-name\> key=value:effect
其中，node-name 是节点的名称，key=value 是污点的键值对，effect 是污点的影响：
NoSchedule：表示不会给该节点调度任何新的工作负载。
PreferNoSchedule：表示尽量不要给该节点调度新的工作负载。
NoExecute：表示如果该节点上已经有工作负载在运行，当出现污点时，这些工作负载将被驱逐。
例如，以下命令设置了一个污点，表示该节点不能调度新的工作负载：
kubectl taint nodes node1 app=backend:NoSchedule
在工作负载上设置容忍度
可以使用以下 YAML 文件在工作负载上设置容忍度：
apiVersion: v1
kind: Pod
metadata:
name: my-app
spec:
containers:
- name: my-container
image: my-image
tolerations:
- key: "app"
operator: "Equal"
value: "backend"
effect: "NoSchedule"
其中，tolerations 字段用于设置容忍度，包括以下几个字段：
key：污点的键。
operator：匹配运算符，如 Equal、Exists 等。
value：污点的值。
effect：污点的影响，与设置污点时的影响相同。
例如，以上 YAML 文件设置了一个容忍度，表示该工作负载能够容忍 app=backend 的污点。
通过设置污点和容忍度，可以在Kubernetes集群中控制工作负载的调度和迁移，从而提高集群的稳定性和可靠性。
Taints和Toleration是怎么样查看的？如何知道哪些机器上有污点，哪些pod可以容忍？
要查看集群中哪些节点上有污点（taints），可以使用以下命令：
kubectl describe nodes | grep Taints
要查看特定节点上的所有污点，可以使用以下命令：
kubectl describe node <node-name> | grep Taints
要查看Pod是否有容忍污点（tolerations），可以使用以下命令：
kubectl describe pod <pod-name> | grep Tolerations
还可以通过使用kubectl get nodes命令查看集群中所有节点的列表，其中包括有关节点是否有污点的信息。要查看每个节点上的污点详细信息，可以使用kubectl describe node 命令。此外，可以使用kubectl get pods -o wide命令查看所有Pod的列表，其中包括它们所在的节点和它们是否容忍污点。
Docker的卷有哪些类型，k8s的卷有哪些类型，两者的卷又有哪些区别？
Docker 中的卷分为两种类型：
匿名卷（Anonymous Volumes）：创建容器时，可以使用 -v 选项在容器中创建一个匿名卷。匿名卷的名称由 Docker 自动生成，无法在容器外部引用，只有在容器内部才能够使用。当容器被删除时，匿名卷也会被删除。
命名卷（Named Volumes）：使用docker volume create命令可以创建一个命名卷。命名卷的名称由用户指定，可以在容器外部引用，容器内部也可以使用。当容器被删除时，命名卷不会被删除。
Kubernetes 中的卷同样也有多种类型，包括：
emptyDir：一个空目录，在 Pod 中的所有容器之间共享。
hostPath：使用节点上的文件系统中的文件或目录挂载到 Pod 中。
configMap：将 Kubernetes 中的一个 ConfigMap 挂载为一个卷。
secret：将 Kubernetes 中的一个 Secret 挂载为一个卷。
persistentVolumeClaim：将一个 PersistentVolumeClaim 挂载为一个卷。 downwardAPI：将 Pod 或容器的元数据作为文件挂载到容器中。 projected：将多个卷挂载到一个目录中，包括 Secret、ConfigMap 和 DownwardAPI。
Docker 中的卷和 Kubernetes 中的卷类似，但有一些区别：
Kubernetes 中的卷是可插拔的，可以支持多种后端存储，例如 NFS、Ceph 等，而 Docker 卷只支持本地存储。
Kubernetes 中的卷是 Pod 内部多个容器共享的，而 Docker 卷只是容器内部使用的。
Kubernetes 中的卷可以使用 ConfigMap 和 Secret 等 Kubernetes 资源作为数据源，而 Docker 卷只能使用本地文件系统中的文件或目录。
Kubernetes 中的卷生命周期比 Docker 中的卷更长，即使 Pod 被删除，持久化卷也不会被删除。
子问题：
如何理解 k8s 的卷是可插拔的？
在 Kubernetes 中，卷（Volume）是一种抽象概念，它是容器中的一个目录，可以挂载到容器中的某个路径上。Kubernetes 中的卷是可插拔的，指的是 Kubernetes 中的卷是一个抽象的概念，允许使用不同的卷插件来实现存储，这些卷插件可以是本地存储、云存储，也可以是第三方存储。Kubernetes 支持多种类型的卷，例如 emptyDir、hostPath、configMap、secret、persistentVolumeClaim 等，每种类型的卷都有不同的卷插件来实现。
例如，使用本地存储作为卷，在 Kubernetes 中需要使用 hostPath 类型的卷，它将节点上的文件系统中的文件或目录挂载到 Pod 中。另外，使用云存储作为卷，可以使用 Kubernetes 中的 persistentVolumeClaim 类型的卷，通过创建一个 PersistentVolumeClaim 对象来声明需要的存储资源，Kubernetes 会自动找到一个可用的 PersistentVolume 来满足该需求，并将其挂载到 Pod 中。
因此，Kubernetes 中的卷是可插拔的，允许使用不同的卷插件来实现存储，从而实现了多样化的存储方式，并且可以很方便地扩展和添加新的卷插件。
三种常见的发布策略（Deployment Strategies）
RollingUpdate：滚动更新是 Kubernetes 默认的发布策略，它会将新版本的 Pod 逐步替换旧版本的 Pod，直到所有 Pod 都被更新为止。这种策略允许在发布过程中保持服务的可用性。
Recreate：重新创建的发布策略会先删除所有旧版本的 Pod，再创建所有新版本的 Pod。这种策略可能会导致服务的短暂停机，但可以确保所有 Pod 都是新版本的。
Canary：金丝雀发布策略会将一小部分的流量路由到新版本的 Pod 上，以测试新版本的稳定性。如果新版本的 Pod 没有出现问题，可以逐渐增加流量到新版本的 Pod 上，直到所有流量都被路由到新版本的 Pod 上。如果新版本的 Pod 出现了问题，可以迅速回滚到旧版本的 Pod。
这三种发布策略的区别在于它们如何处理旧版本和新版本的 Pod，以及它们对服务可用性的影响。
RollingUpdate 策略是最常用的发布策略，它允许在发布过程中保持服务的可用性，并且可以逐步将流量切换到新版本的 Pod 上。
Recreate 策略可以确保所有 Pod 都是新版本的，但可能会导致短暂的服务停机。Canary 策略允许逐步测试新版本的稳定性，但需要额外的配置和测试来确保正确性。
Kubernetes 中三种类型的探针
在 Kubernetes 中，探针（Probes）是用于监测容器状态的一种机制，可以通过探针来检测容器是否正常运行，并在容器出现异常时进行自动修复。
Kubernetes 中主要有以下三种类型的探针：
Liveness Probe（存活探针）：用于检查容器是否仍然在运行，如果探针检测到容器处于非运行状态，就会将其标记为失败，并触发容器重启。
Readiness Probe（就绪探针）：用于检查容器是否已经准备好接受流量，如果探针检测到容器还没有准备好接受流量，就会将其标记为失败，并将其从服务负载均衡池中删除。
Startup Probe（启动探针）：用于检查容器是否已经启动并准备好接受流量，与就绪探针类似，但是 Startup Probe 在容器启动后等待一段时间再进行探测，可以用于在容器启动较慢的情况下，确保容器已经完全启动并准备好接受流量。
除了以上三种探针，Kubernetes 还提供了一种 Exec Probe（命令执行探针），它可以通过在容器中执行指定的命令来检测容器状态，但是由于 Exec Probe 相对于其他探针来说比较低效，因此在实际使用中并不常见。
探针是 Kubernetes中非常重要的一个概念，可以用于确保容器的高可用性和稳定性。在实际使用中，需要根据业务需求和容器特点，选择合适的探针类型，并设置合理的探测参数。
子问题：
怎么验证探针的效果？
验证探针的效果需要根据具体的 应用场景 和 监测指标 来选择相应的方法。以下是一些常见的验证探针效果的方法：
负载测试：通过模拟大量用户访问，测试探针是否能够正常处理请求，以及探针对系统性能的影响。
对比实验：通过在同一环境下分别使用探针和不使用探针的方式来对比系统的性能指标，如响应时间、吞吐量等。
与标准值对比：将探针的监测指标与已知的标准值进行对比，例如 CPU 占用率、内存使用率、网络延迟等。
实时监控：使用实时监控工具来观察探针的数据是否准确、及时、完整，并能够快速响应异常情况。
日志分析：对探针所产生的日志进行分析，了解探针是否正常工作，并找出潜在的问题。
总的来说，验证探针的效果需要从多个角度进行考虑，并结合实际应用场景和需求进行选择。
下面以性能对比实验为例，给出一些具体的实验步骤和代码示例：
1.确定实验目标和范围，例如测试某个函数的性能表现。
2.编写测试用例，包括多组输入数据和期望输出结果。
3.编写两份代码，一份带有探针，另一份不带探针。探针代码可以使用性能分析工具来实现，例如 Python 中的 cProfile。
4.进行测试，记录测试数据和运行时间。
5.对比两份代码的性能指标，例如平均运行时间、最大运行时间、标准差等。
6.分析差异的原因，例如探针对性能造成的影响等。
下面是一个 Python 的性能对比实验的示例代码：
import cProfile
# 带有探针的代码
def func_with_probe():
# 执行一些操作
pass
# 不带探针的代码
def func_without_probe():
# 执行一些操作
pass
# 测试函数的性能
def test_performance():
# 测试带有探针的代码
profiler = cProfile.Profile()
profiler.enable()
func_with_probe()
profiler.disable()
profiler.print_stats(sort='time')
# 测试不带探针的代码
profiler = cProfile.Profile()
profiler.enable()
func_without_probe()
profiler.disable()
profiler.print_stats(sort='time')
# 进行测试
test_performance()
在这个示例中，我们使用了 Python 的 cProfile 模块来实现探针功能。通过比较两份代码的运行时间和调用次数等性能指标，我们可以对比两份代码的性能表现，并分析差异原因。
ipvs和iptables有什么区别？
IPVS（IP Virtual Server）和iptables都是 Linux 内核中的网络功能模块，但它们的作用和使用方式有所不同。
IPVS 主要用于实现负载均衡，它可以将来自客户端的请求分发到多个服务器上进行处理，提高系统的可用性和性能。IPVS 通过在 Linux 内核中实现一个虚拟服务器，将多个真实服务器组合成一个逻辑服务集群，对外提供服务。IPVS 可以支持多种负载均衡算法，包括轮询、加权轮询、最少连接等。
iptables 则主要用于实现网络安全，它可以对网络流量进行过滤和转发，实现防火墙、NAT 等网络功能。iptables 可以根据 IP 地址、端口号等多个条件对网络流量进行过滤和转发，支持多种匹配和动作规则，例如 DROP、ACCEPT、SNAT、DNAT 等。
综上所述，IPVS 和 iptables 的主要区别在于功能和应用场景。如果需要实现负载均衡，可以选择使用 IPVS；如果需要实现网络安全，可以选择使用 iptables。当然，在一些情况下，IPVS 和 iptables 也可以结合使用，例如使用 IPVS 实现负载均衡同时使用 iptables 实现网络安全。
–proxy-mode 引出的问题
在Docker中：
–proxy-mode 是 Docker 的一个命令行参数，用于指定容器使用的代理模式。可以在 docker run 命令中使用 --proxy-mode 参数来指定。
具体来说，在使用 docker run 命令创建容器时，可以使用以下语法来指定 --proxy-mode 参数：
docker run --proxy-mode <proxy-mode> <image-name>
其中，<proxy-mode> 是代理模式，可选的值包括 on 和 off。如果指定为 on，则容器会自动使用 Docker 的内部代理，以访问 Docker Hub 和其他 Docker 镜像仓库。如果指定为 off，则容器不会使用代理。
例如，要创建一个名为 my-container 的容器，并指定代理模式为 on，可以使用以下命令：
docker run --name my-container --proxy-mode on my-image
需要注意的是，–proxy-mode 参数只在 Docker 17.07 版本之后才可用。在之前的版本中，可以使用 --dns 和 --dns-search 参数来指定容器使用的 DNS 服务器和搜索域名。
在K8S中：
在 Kubernetes 中，–proxy-mode 不是一个有效的命令行参数。相反，Kubernetes 提供了一个名为 kube-proxy 的组件，用于提供 Kubernetes 服务的负载均衡和代理功能。
kube-proxy 可以使用不同的模式来实现负载均衡和代理，包括 iptables 模式、IPVS 模式和 userspace 模式。默认情况下，kube-proxy 会使用 iptables 模式来实现负载均衡和代理。
如果需要更改 kube-proxy 的模式，可以通过修改 kube-proxy 启动参数来实现。具体来说，可以在 kube-proxy 的启动参数中添加 --proxy-mode 参数来指定使用的模式。例如，要将 kube-proxy 切换到 IPVS 模式，可以在 kube-proxy 的启动参数中添加 --proxy-mode=ipvs 参数。
需要注意的是，kube-proxy 的启动参数通常是由 Kubernetes 集群管理器（如 kubeadm）自动生成的，并在 kube-proxy 启动时自动加载。如果需要手动修改 kube-proxy 的启动参数，建议在 Kubernetes 集群管理器的配置文件中进行相应的修改。
k8s的容器类型
Kubernetes 支持多种容器类型，每种类型都有不同的用途和特点。下面是 Kubernetes 中常见的容器类型及其特点：
部署容器（Deployment）
部署容器是 Kubernetes 中最常用的容器类型之一。它提供了一种声明性的方式来定义应用程序的部署和管理。使用部署容器，可以轻松地管理多个副本和更新应用程序的版本。服务容器（Service）
服务容器用于定义 Kubernetes 集群中的服务。它提供了一种抽象层，用于将应用程序的逻辑端口映射到群集中的一组实际运行的 Pod。使用服务容器，可以轻松地管理应用程序的负载均衡和服务发现。配置容器（ConfigMap）
配置容器用于存储应用程序的配置数据。配置数据可以包括环境变量、命令行参数、配置文件等。使用配置容器，可以将配置数据与应用程序分离，使得应用程序更加灵活和可配置。密钥容器（Secret）
密钥容器用于存储敏感数据，例如密码、证书等。使用密钥容器，可以将敏感数据与应用程序分离，从而提高应用程序的安全性。存储容器（Volume）
存储容器用于提供持久化存储。它可以将容器内部的文件系统挂载到宿主机上的存储卷中，从而实现容器数据的持久化。使用存储容器，可以轻松地管理容器数据的持久化和备份。执行容器（Job）
执行容器用于运行一次性任务，例如数据处理、数据迁移等。使用执行容器，可以轻松地运行一次性任务，并且在任务完成后自动删除容器。守护进程容器（DaemonSet）
守护进程容器用于在 Kubernetes 群集中的每个节点上运行一个副本。它通常用于运行网络代理、监控代理、日志收集器等核心服务。使用守护进程容器，可以轻松地在整个群集中运行核心服务，并且保证每个节点上都有一个运行的副本。批处理容器（CronJob）
批处理容器用于定期运行一些作业，例如数据备份、日志清理等。使用批处理容器，可以轻松地定期运行作业，并且在作业完成后自动删除容器。
以上是 Kubernetes 中常见的容器类型，不同的容器类型适用于不同的场景和需求。在实际使用中，可以根据具体的需求选择合适的容器类型。
init 容器、Pause 容器、Sidecar 容器和应用容器都归为了普通的容器类型。实际上，它们都是 Kubernetes 中的容器类型，但是它们具有不同的特点和用途。
Init 容器：它是 Kubernetes 中的一种容器类型，主要用于在应用容器启动之前执行一些初始化任务，例如初始化数据库、创建配置文件等。Init 容器执行完任务后会退出，然后应用容器才会启动。
Pause 容器：它是 Kubernetes 中的一种内置容器类型，主要用于为 Pod 中的其他容器提供网络和文件系统。当 Pod 中有多个容器时，它们共享同一个网络和文件系统，而这些资源都是由 Pause 容器提供的。
Sidecar 容器：它是 Kubernetes 中的一种容器类型，主要用于在同一个 Pod 中与主应用容器一起运行的辅助容器。它可以与主应用容器共享网络和文件系统，或者提供一些辅助功能，例如日志收集、监控等。
应用容器：它是 Kubernetes 中最常用的容器类型之一，主要用于运行应用程序。可以使用 Docker 镜像部署各种类型的应用程序，例如 Web 应用、数据库等。
域名解析主要涉及的几个命令
nslookup：查询域名解析信息，可以查看主机名对应的IP地址、反向查询IP地址对应的主机名等信息。
dig：一个强大的查询DNS系统的工具，可以查看域名的各种记录类型，如A记录、MX记录、CNAME记录等。
host：查询主机名对应的IP地址，也可以查询反向解析的信息。
whois：查询域名的注册信息，如域名所有者、注册商、注册日期等。
以上命令可以在终端下使用，需要注意的是，不同操作系统的终端可能会有些许差异。
/etc/logrotate.conf 引申的“轮转”知识
轮转（Log Rotation）是一种管理日志文件的方法，它可以通过定期地压缩、备份、删除旧的日志文件来保持系统日志的可用性和可管理性。在Linux系统中，轮转是通过logrotate工具来实现的。
logrotate的配置文件一般为/etc/logrotate.conf，它指定了轮转的规则和策略。下面是一个简单的logrotate.conf配置文件的例子：
# logrotate configuration file
# specify the interval to rotate the logs
weekly
# specify the compression method
compress
# specify the number of rotated logs to keep
rotate 4
# specify the log files to rotate
/var/log/*.log {
# specify the post-rotate command
postrotate
/usr/bin/systemctl reload nginx
endscript
}
weekly：指定轮转的时间间隔，可以是daily、weekly、monthly等。
compress：指定压缩方式，可以是compress、nocompress、compresscmd等。
rotate 4：指定保留的旧日志文件数，这里设置为4，表示仅保留4个旧日志文件。
/var/log/*.log：指定需要轮转的日志文件，可以使用通配符。
postrotate和endscript之间的命令：用于在轮转完成后执行一些操作，如重新加载服务。
在实际使用中，也可以为不同的日志文件指定不同的轮转规则，只需要在/etc/logrotate.d目录下创建一个以日志文件名命名的文件即可。这样，每次运行logrotate时，它会读取这个目录下的所有配置文件并执行相应的轮转规则。
子问题：
日志轮转的好处是什么？
管理日志文件大小：日志文件在不断地增长，如果不进行轮转，日志文件可能会占满磁盘空间，导致系统运行异常，甚至无法启动。通过定期进行日志轮转，可以限制日志文件的大小，避免出现此类问题。
方便日志管理：日志文件的轮转可以将旧的日志文件自动压缩、备份或删除，避免日志文件过多，不仅占用磁盘空间，也不利于日志管理。通过日志轮转，可以更方便地管理日志文件，避免日志文件过大，也方便查找和分析日志。
避免日志文件单一：在日志文件不断增长的过程中，如果只维护一个日志文件，可能会导致日志文件过于单一，不利于故障排查和分析。通过日志轮转，可以将日志文件按照一定规则进行切割，方便查找和分析日志。
提高系统性能：当日志文件过大时，读写操作会变得缓慢，甚至会导致系统崩溃。通过日志轮转，可以避免此类问题，提高系统性能和稳定性。
总之，日志轮转可以提高系统的可用性、可管理性和可维护性，避免了日志文件过大、不易管理的问题，也方便了日志的查找和分析。
面试题
安全部需要周期性扫描每台服务器的系统登录日志 auth . log ，发现从上次检查至今有非白名单 IP 的登录记录，则发邮件报警。由于日志里面只记录了月份和日期，没有年份，最初版本的脚本只根据日期判断，会把一年前的登录日志认为是当天的，导致较多误报。需要想一个办法，避免这种不必要的误报。请说明具体的编码思路，如果无法描述清楚也可以通过程序表示。
正解：
为了避免误报，可以记录上一次扫描的日期，比较上一次扫描的日期和这次扫描的日期，只处理这段时间内的日志。具体的编码思路如下：
读取上一次扫描的日期，如果没有记录，则默认为当前日期。
获取当前日期，并计算出上一次扫描的日期和当前日期之间的天数。
读取系统登录日志 auth.log，按行读取每一条登录记录。
对每条登录记录，获取日期信息并转换成日期对象，与上一次扫描的日期进行比较，只处理在这段时间内的登录记录。
对于每个登录记录，提取IP地址，并检查该IP地址是否在白名单中，如果不在，则发送邮件报警。
具体的Python代码实现如下：
import datetime
import re
import smtplib
from email.mime.text import MIMEText
# 白名单IP列表
whitelist = ['127.0.0.1', '192.168.1.1']
# 读取上次扫描的日期
with open('last_scan_date.txt', 'r') as f:
last_scan_date_str = f.read().strip()
# 如果没有记录，则默认为当天
if not last_scan_date_str:
last_scan_date_str = datetime.datetime.now().strftime('%b %d')
# 计算上次扫描日期和今天之间的天数
last_scan_date = datetime.datetime.strptime(last_scan_date_str, '%b %d')
today = datetime.datetime.now()
days = (today - last_scan_date).days
# 读取系统登录日志
with open('/var/log/auth.log', 'r') as f:
lines = f.readlines()
# 处理每条登录记录
for line in lines:
# 提取日期信息
match = re.search(r'^\w{3}\s+\d{1,2}', line)
if match:
date_str = match.group()
date_str = f'{date_str} {today.year}' # 添加年份
login_date = datetime.datetime.strptime(date_str, '%b %d %Y')
# 只处理在指定时间范围内的登录记录
if (today - login_date).days <= days:
# 提取登录IP地址
match = re.search(r'(\d{1,3}\.){3}\d{1,3}', line)
if match:
ip = match.group()
# 检查IP地址是否在白名单中
if ip not in whitelist:
# 发送邮件报警
msg = MIMEText(f'Unauthorized login from IP {ip}')
msg['Subject'] = 'Unauthorized login detected'
msg['From'] = 'admin@example.com'
msg['To'] = 'security@example.com'
s = smtplib.SMTP('localhost')
s.sendmail('admin@example.com', ['security@example.com'], msg.as_string())
s.quit()
# 记录本次扫描的日期
with open('last_scan_date.txt', 'w') as f:
f.write(today.strftime('%b %d'))
在这个代码中，我们使用了Python的datetime模块来处理日期，使用正则表达式来提取登录记录中的日期和IP地址，使用smtplib模块来发送邮件报警。最终，我们记录了本次扫描的日期，以便下次扫描时只处理新的登录记录。