Files

Sergey Antropoff eccc1c2a01 docs: полная документация проекта — docs/ и README.md для каждого аддона

- README.md: перепиcан как компактный обзор (98 строк) с навигацией по docs/
- docs/: 13 файлов — getting-started, architecture, configuration, addons,
  storage, security, cicd, observability, networking, operations,
  make-reference, molecule-testing, troubleshooting
- addons/*/README.md: 31 новый файл — описание, параметры, примеры кода
  для каждого из 34 аддонов (vault и external-secrets уже существовали)

2026-04-26 00:22:06 +03:00

5.6 KiB

Raw Blame History

Сеть и доступ

ingress-nginx

HTTP/S Ingress controller, точка входа для всех веб-приложений кластера. Подробнее: addons/ingress-nginx/README.md.

addon_ingress_nginx: true
ingress_nginx_load_balancer_ip: ""   # авто от kube-vip

Базовый Ingress:

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: my-app
  annotations:
    cert-manager.io/cluster-issuer: "letsencrypt-prod"
spec:
  ingressClassName: nginx
  tls:
    - hosts: [myapp.example.com]
      secretName: myapp-tls
  rules:
    - host: myapp.example.com
      http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: my-app
                port:
                  number: 80

cert-manager — TLS сертификаты

Автоматические TLS сертификаты от Let's Encrypt или самоподписанного CA. Подробнее: addons/cert-manager/README.md.

addon_cert_manager: true
cert_manager_issuer: "letsencrypt"
cert_manager_acme_email: "admin@example.com"

Istio — Service Mesh

mTLS между сервисами, traffic management, observability. Подробнее: addons/istio/README.md.

addon_istio: true
istio_mtls_mode: "STRICT"
kiali_enabled: true

Включить sidecar injection

kubectl label namespace my-app istio-injection=enabled

VirtualService routing

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: my-app
spec:
  hosts: ["myapp.local"]
  gateways: ["istio-system/istio-ingressgateway"]
  http:
    - route:
        - destination:
            host: my-app
            port:
              number: 80

NetBird VPN

Self-hosted WireGuard VPN с управляемым сервером. Клиенты из любой точки мира получают доступ к подсетям кластера. Подробнее: addons/netbird/README.md.

Быстрый старт

addon_netbird: true
netbird_domain: "netbird.example.com"

# Subnet Router — доступ к локальной сети из VPN
netbird_subnet_router_enabled: true
netbird_subnet_routes:
  - "192.168.1.0/24"   # локальная сеть
  - "10.42.0.0/16"     # pod CIDR
  - "10.43.0.0/16"     # service CIDR

# Exit Node — интернет через кластер
netbird_exit_node_enabled: false

Архитектура

VPN Client
    │  WireGuard
    ├──→ Management (gRPC LoadBalancer IP)
    ├──→ Signal (WebRTC signaling)
    └──→ Coturn (STUN/TURN для NAT traversal)
            │
            └──→ Subnet Router Pod ──→ 192.168.1.0/24
                                  └──→ 10.42.0.0/16 (pods)

Подключение клиентов

netbird up --management-url grpc://netbird.example.com:80

kube-vip LoadBalancer

kube-vip обрабатывает все LoadBalancer сервисы — каждый сервис с type: LoadBalancer автоматически получает IP из подсети кластера.

apiVersion: v1
kind: Service
metadata:
  name: my-tcp-service
  annotations:
    kube-vip.io/loadbalancerIPs: "192.168.1.150"   # статический IP (опционально)
spec:
  type: LoadBalancer
  ports:
    - port: 8080
      targetPort: 8080
  selector:
    app: my-app

DNS внутри кластера

Паттерны DNS для сервисов:

<service>.<namespace>.svc.cluster.local

# Примеры:
postgresql.postgresql.svc.cluster.local:5432
minio.minio.svc.cluster.local:9000
vault.vault.svc.cluster.local:8200
loki.loki.svc.cluster.local:3100
smtp-relay.smtp-relay.svc.cluster.local:25
tempo.tempo.svc.cluster.local:4317

Network Policies (Calico/Cilium)

Требует k3s_cni: "calico" или k3s_cni: "cilium".

# Запретить весь трафик в namespace:
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-all
  namespace: my-app
spec:
  podSelector: {}
  policyTypes: [Ingress, Egress]
---
# Разрешить только из ingress-nginx:
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-ingress
  namespace: my-app
spec:
  podSelector:
    matchLabels:
      app: my-app
  ingress:
    - from:
        - namespaceSelector:
            matchLabels:
              kubernetes.io/metadata.name: ingress-nginx
      ports:
        - port: 8080
---
# Разрешить DNS (CoreDNS):
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-dns
  namespace: my-app
spec:
  podSelector: {}
  egress:
    - ports:
        - port: 53
          protocol: UDP
        - port: 53
          protocol: TCP

Cilium — дополнительные возможности

k3s_cni: "cilium"
cilium_hubble_enabled: true      # observability
cilium_hubble_ui_enabled: false  # Hubble UI

L7 Network Policy (только Cilium):

apiVersion: cilium.io/v2
kind: CiliumNetworkPolicy
metadata:
  name: allow-http-get
spec:
  endpointSelector:
    matchLabels:
      app: my-api
  ingress:
    - fromEndpoints:
        - matchLabels:
            app: frontend
      toPorts:
        - ports:
            - port: "8080"
              protocol: TCP
          rules:
            http:
              - method: GET
                path: "/api/.*"

5.6 KiB Raw Blame History Unescape Escape