搜尋

搜尋結果

Swarm mode 上線 5 - load balancer | 還有那些事該考量?
科技新知
MacauYeah・2024-11-18

前面介紹了 ingress network ,亦介紹了 proxy gateway 。能做到的基本都做到了,再來就是考量安全性的問題。因為加了 proxy gateway ,前述的例子是所有 service ,都放在同一個 yaml 檔中。好處是,所有相關的東西存放在同一個檔中, gateway ,背後的 service 都一眼看到。但壞處就是有其中一個 service 更新,都要改那個 yaml 檔。更大的問題是, stack deploy 的指令,不單只更新其中一個 service ,就連其他 service 都會自動取得最新 image 而 redeploy 。 對於一個緊密的系統來講,同步更新可能不是大問題。但對於一些預定排程發佈的系統可不能這樣因為副作用而更新了。如果你也有這樣的分開管理需求,可以參考下面做法,把 gateway service 及 upstream service 放在不同的檔案中,然後經過 external network把所有 service 串連起來。 # nginx-stack.yaml, docker stack deploy -c nginx-stack.yaml nginx services: http-gateway: image: http-gateway ports: - 8080:8080 deploy: replicas: 1 update_config: delay: 10s restart_policy: condition: on-failure # manager-stack.yaml services: managerhttp: image: bretfisher/httpenv networks: - nginx_default - default deploy: replicas: 3 update_config: delay: 10s restart_policy: condition: on-failure placement: constraints: - node.labels.zone==manager networks: nginx_default: external: true # dmz-stack.yaml services: dmzhttp: image: bretfisher/httpenv networks: - nginx_default - default deploy: replicas: 2 update_config: delay: 10s restart_policy: condition: on-failure placement: constraints: - node.labels.zone==dmz networks: nginx_default: external: true 這樣,不同 service 的維護人員,就可以獨自控制自己的檔案。在第一次發佈時,確認 nginx-stack.yaml 先行發佈就可以了。對應的發佈指令是docker stack deploy -c nginx-stack.yaml nginx,它會自動産生一個 nginx_default (即 stack名字_default )的網絡。之後其他service,就可以經networks的設定找到它了。 services: YOUR_SERVICE: networks: - nginx_default - default networks: nginx_default: external: true 上述即使分離檔案,在安全性考量時還是有一個問題,就是 ingress network 的問題。試想一下,dmzhttp (Demilitarized Zone)原本被設定的原因,就是想限制某些訪問只能一些可以公開的服務。但因為經過 ingress network 之後,它們會在所有機器上開放這些 port。那就是,以下面的例子來講,若 dmzhttp 是公開的服務, intrahttp 是內部服務,即使用 intrahttp 使用不同的port 8889。但一經 swarm mode 預設的 ingress network ,在node.labels.zone==dmz的那些節點,還是可以訪問到 intrahttp 。 services: dmzhttp: image: bretfisher/httpenv ports: - 8888:8888 deploy: replicas: 2 update_config: delay: 10s restart_policy: condition: on-failure placement: constraints: - node.labels.zone==dmz intrahttp: image: bretfisher/httpenv ports: - 8889:8888 deploy: replicas: 3 update_config: delay: 10s restart_policy: condition: on-failure placement: constraints: - node.labels.zone==intra 我們前述介紹的 proxy gateway ,其實已經有一定程度可以解決這個問題。因為 proxy gateway 是根據 http 協定中的 host header 去做分流。在邊界網絡進來的「合法」訪問,道理上會好好地經引導到我們的 dmzhttp 。不過網路的邪惡可容小看, proxy gateway 也會有被騙的一日。有特定能力的攻擊者,只需找到目標域名,還是可以接觸到 intrahttp 。 若要做進一步隔離,在這種情況下,我們可以在 dmz , intra 機器中各設定一套 swarm ,完全獨立,這是最安全的做法。但這樣做的管理成本就會變高,因為兩個網段都會有自己的 manager 節點,而且在 dmz 網段的 manager 節點也有被攻擊的可能。 若我們回到單一 swarm 的方向,可以修改各個 service 中的 port 和 deploy 。利用 post mode 中的「host」,配合 deploy mode 中的「global」,完全跳開 ingress network。 services: dmzhttp: image: nginx ports: - target: 80 published: 8888 mode: host deploy: mode: global update_config: delay: 1s restart_policy: condition: any placement: constraints: - node.labels.zone==dmz intrahttp: image: bretfisher/httpenv ports: - target: 8888 published: 8888 mode: host deploy: mode: global update_config: delay: 10s restart_policy: condition: on-failure placement: constraints: - node.labels.zone==intra 上面的例子中, dmzhttp 會在所有 dmz 的機器中,每個節點只運行一份服務,而且直接使用該機的 8888 port ,外面不會再有 ingress network 的 存在。同樣地,intrahttp 會在 intra 的所有節點,運行一份服務,佔用它們的8888 。這兩個服務,即使使用一個 port ,swarm 也不會說有任何問題。因為它們不會經 ingress network 搶佔其他人的 8888。 可能會有讀者問,如果 host mode 這麼安全,為什麼預設會是 ingress network,那我們就要先了理清 ingress network 與 host mode 有有什麼分別?假設我們只運行一個service,它佔用8888。 功能ingress modehost mode replicas 數 同一個 service replicas 為任意數量,什至比節點的數目多 因為有 port 限制,每個節點最多只能運行一份 Virtual IP Virtual IP 任意在節點中跳轉也可以,因為 ingress 會自動找到對應的 service 所在的節點 Virtual IP必需要與 service 所在節點綁定,其他節點訪問不到 load balance 有 沒有 host mode 就像我們傳統在各自的節點上自行佈署自己的程序,各個節點只有一份。所以不會有自動 load balance 的效果,如果客戶端訪問固定的IP,就會得到是固定的接器接受請求。我們有需要,就要在前面加一個 Proxy Gateway (或 HA proxy )。 Virtual IP 也一樣, host mode 下需要好好地自動跟著 service 的生命期,不過幸運的是, Docker 預設己經有自動重啟 service 功能,即前文中的 restart_policy ,它在 host mode 下也適用。如果大家有配合 deploy 中的 global mode , Virtual IP 的並沒有實際變動。但如果沒有 global mode ,就要再想想辦法了。 最後考慮 load balance 的問題,如果進入點的 service 的真的不太消耗資源,沒有 load balance 也是可以的 ,但若超負荷,就必需要自建 proxy gateway 。經過進入點後,若我有背後的 service 就沒有所謂的 ingress 和 host mode 選擇。

【澳門美食】高 CP 值扒房之選,澳門金沙酒店高雅扒房!
生活在我城
Lifemagfoodie・2022-11-11

作為澳門最歷史悠久的扒房之一,品質在水準之上,除了有單點外,亦推出幾款不同的午市及晚市套餐,非常豐富,絕對值得一試!這次小編分別試了單點及一些套餐菜式,想睇詳細介紹就繼續往下看吧! 餐前麵包 麵包質感鬆軟,濕潤度十足,不會太乾太硬,配搭焗蒜及牛油,蒜蓉麵包非常香口又開胃! 忌廉粟米 香濃的忌廉入口順滑,帶有粟米及麵包粒增加口感,不會太過厚重。 香煎北海道扇貝 (套餐) 北海道扇貝煎得剛剛好,入口即化,而且帶點半生熟的口感,配搭充滿奶香的忌廉汁,令人一口接一口。蘆筍及蘑菇亦非常鮮嫩,口感豐富! 薑味南瓜湯(套餐) 薑味不會太重而蓋過南瓜湯的味道,並可以為這道湯提味,南瓜湯加入烤過的南瓜籽,增添口感及香味。 澳洲 M6 黑毛和牛西冷牛扒 $688 來到重頭戲主菜的部份,來自澳洲的 M6 黑毛和牛西冷牛扒肉質細嫩,肉汁飽滿,而且油脂分佈均勻,入口即化! 烤黑安格斯里脊肉 配 燒嫩菜,牛油薯蓉,紅酒汁 (套餐) 黑安格斯里脊肉與 M6 牛扒的口感有些不一樣,口感比較有咬勁,但不會太硬,五成熟煎得剛剛好,一樣肉汁豐富,大家可按自己喜好選擇! 芝士焗通粉 ($68)及 炸薯條 (套餐 +$68) 芝士焗通粉芝士醬非常香濃,整體會比較飽肚;炸薯條的醬絕對是精髓所在,除了有茄汁,還有餐廳調配的墨西哥辣蛋黃醬,非常邪惡惹味! 高雅流沙朱古力蛋糕 伴糖潰覆盆子及大溪地雲呢拿雪糕 (套餐內,亦可單點 $75) 流沙朱古力蛋糕帶有濃郁可可味,而且不會太甜,流心程度亦控制得剛剛好,配搭覆盆子醬及雲呢拿雪糕更顯清新,作飯後甜品亦不會太膩! 澳門金沙酒店高雅扒房 地點:澳門金沙3樓 電話:+853 8118 8822 精選午市套餐(三道菜)$298 :詳情 精選牛扒套餐 $588 起:詳情

低成本架設自己的直播網站
手機‧電玩
MacauYeah・2021-11-29

擁有自己的串流直播伺服器 很多人以為直播,只需要一個公用平台帳號(Twitch, YouTube, Facebook, BiliBili)。但某些時候,公用平台並不滿足需求。 例如: 異地/素人團隊主辧節目,換人會出現斷線問題。 同樣為團隊主辧節目,想做電視牆的效果。 同樣為團隊主辦節目,不保證每位主播有沒有使用有版權音樂/敏感影片的問題,不想中途特別被Ban。 地域問題,Twitch, YouTube, Facebook, 不能在中國播放; 中國的直播平台亦事前認證國民身份,外地人難以申請。 而擁有自己的串流直播伺服器,可以緩解上述的問題。 通過緩衝,你可以有一個中繼伺服器,換人時受影響的是中繼伺服器,觀眾看到的公用平台不受影響。 同樣的,電視牆也經過軟件,配合中繼伺服器做到。這讓異地團隊能運溝通,也可以為本地團隊省一點硬件錢。 有版權或敏感問題會被Ban嗎? 至少你有自己的緩衝時間,你可以提前關掉來源,又或者請觀眾暫時去到你自己的伺服器直接觀看。 地域問題,只要確認你自己伺服器的IP沒有被限制就OK 想要建造自己的私有伺服器其實很簡單,因為筆者已經把它打包好,大家只要找一台機器,安裝Docker,就可以運用。 基礎版 - 純RTMP伺服器 https://github.com/macauyeah/nginxRtmp 大家可以隨時下載整個project的zip檔,並安照其頁內的說明安裝Docker和運行程式。運行保證簡便,只要你平時有直播經驗,應該都會看得懂其內所說的串流設定。 進階版 - RTMP伺服器+HLS+Video Player https://github.com/macauyeah/nginxRtmp/tree/feature/hls 純RTMP可以做到緩衝的需求,但要直接播放,還是要有一個HLS轉換。上述的版本,加了HLS的功能,也加了一個簡單的Video Player。因為Video Player需要因應不同情況修改HTML原始碼,所以還建議由懂網頁開發的朋友進行修改,預設只可以在本機上使用。 Docker是什麼? Docker算是一種輕量化的虛擬機器,可以運行一些別人打包程式(主要是Linux)。就算在Windows機上,你可以通過Docker運行Linux。而安裝指引,我也寫了上述github的連結內。大家應該照著做就好。 為何這是一個低成本的做法? 在傳統上,若要收集多台電腦的訊號,你可能需要另外購買HDMI訊號分流器,致少你在要硬件上投資,也要在空間上留出位置。然後你用軟件的方式,你就可以在你自己的工作範圍內,用原有的電腦就能架設伺服器,其他電腦可以經過原本的RTMP就可以傳訊號過來。若要考慮異地團隊,架設伺服器方式也沒有變,只要確保對外的網路暢通,並且有固定ip就足夠。最後,相比現有的直播收費伺服器,入門級也要每月25美元。相反,自己架設,即使租用雲端伺服器,入門級可以降底至10美元。所以這方法,很適合低成本制作。 Support 如果大家在安裝上遇上什麼問題,都可以在 https://github.com/macauyeah/nginxRtmp/issues 上留言。或者大家如果需要找進階版的客制化,歡迎訂閱我的Patreon。

紫微斗數如何看爛桃花?
宗教玄學
熊神進・2021-07-19

紫微斗數如何看爛桃花? #水性楊花八字# (本文題材敏感, 讀者們可以選擇是否閱讀) 澳門是一個不夜城, 聲色犬馬,紙醉金迷, 每到華燈初上, 舞池上的都站滿紅男綠女, 大家真的為跳舞而跳舞?大家真的去娛樂?男人有錢會變壞, 女人變壞會有錢, 男女各有所需, 身體就在輪回中沉醉。 告子說“食色性也”, 食欲、性欲,是人的天性, 我們是玄學家, 沒有必要爭辯這些古人智慧, 我們把這些論理用在道德、法典、宗教上, 我們會發現修行人有一定的約束“性”, 不可以因為“食色性也”而破壞法律, 顛倒人倫。 所謂性服務工作者, 簡單一句就是為他人提供性服務以獲得報酬的人,這裡的“性”玄學上是指通過自願身體進行Sexual behavior, 包括色情演員、包養、婚外情等非法律婚姻事實。 性服務工作者通過潛規則/價格交易去提供性服務,從而賺得報酬或短暫利益,這和女友/妻子性質不同, 妻子/女友是專一愛情, 且不以短暫金錢/利益而作同床目的。 三天前有一位上海的讀者打電話給我, 她是已婚的, 沒有子女, 丈夫是model, 她是秘書, 她陪公司老闆去了xx出差,在他們住賓館的時候,發生了性關係,她問我, 她這種關係是什麼性質?女秘書為了晉升,她接受了這一套 short way, 是為財, 是為欲, 我們不討論。 筆者是玄學家, 不是性博士, 有關這敏感題材, 很遺憾, 我認知不多, 今天我只能把自己算命工作經驗跟大家共享。在紫微斗數教學中, 我把女生的命分為18種35類, 簡單來說, “風塵女郎”是其中一類, 屬於可憐的一種“苦”命。 她的命宮出現破軍、天姚,這就容易被男人佔便宜。 首先我來說說“天姚星”是什麼, 天姚又叫作玄媼星,三世書有一個故事是講玄媼星(很感性的, 我日後再跟大家說) , 因為它就是太陰之精。在紫微斗數中關於“桃花”性質的星曜有很多,其中天姚、咸池、沐浴、紅鸞、天喜、貪狼、紫微、破軍、七殺、天同、天相、巨門、文曲、文昌、左輔、右弼、天鉞、喜神、鳳閣、天刑、化祿等也具有桃花的性質。我們初學紫微斗數必須熟讀每一個星的性質才開始排斗數盤。桃花星泛指感情、婚姻、情色、欲望等。桃花分為二面, 好的一面是利感情、人緣和姻緣,增強人的感性面,增加人緣, 2021年桃花位在西方, 2022年桃花位在東北, 如果我們想增加桃花, 最簡單的風水方法就是在桃花位上擺放“粉晶球”。但, 我說但是, 如果八字天姚星、貪狼星、廉貞星等桃花太重則容易使人陷入情色、欲望、婚外欲中,即使結了婚也會為了某目的而背叛婚姻。 天姚主風流淫蕩之事,卯酉戌亥為廟地,入廟姿色漂亮,她性格外向開朗, 談吐好,喜名牌服飾,虛榮具貪念(老闆送了她一件天然粉晶球),但她有一個缺點, 就是不容易相信別人。 天姚入夫妻宮,犯重婚,或有地下情, 婚外欲外遇之事。學習紫微斗數的讀者還要看天姚星有沒有與破軍星同守,如果有, 女生的第一個身體接觸男人不是她的法律丈夫, 婚後也會跟多個男人有肉體接觸, WHY ? 很簡單, 因為天姚星有凶神同垣,如是者, 她不可能一婚終老。 古人把鴛鴦說是忠貞愛情的代表,這說明女性嚮往愛情,丈夫一生中應該對自己的妻子負責, 其實在三世書中鴛鴦並非一夫一妻制眾生。說白一句, 鴛鳥會在繁殖期間向多隻鴦鳥求偶, 而鴦鳥在求偶期最多能同時擁有六個鳥窩。 鴛鴦交配完後,這種夫妻關係就自動解除了。鴛鳥就像一個花花公子,拋棄這曾經的摯愛伴侶,尋找新歡。即使鴛鳥死亡,鴦鳥也不會守節,它會在短時間之內找到另外一隻鴛鳥。很多時候,我們沒有認識玄學家, 沒有看過三世書, 大家只看到鴛鴦成雙成對,就只羨鴛鴦不羨仙, 在玄學家眼中鴛鴦並不專情,表面上情意綿綿,暗地裡偷吃。 真正的一夫一妻制是赤麻鴨(日後筆者詳細告訴你們), 在三世書上, 我們有很多種婚姻叫法, 一種叫“玄學婚姻”, 一種叫“花燭婚姻”(亦即法律婚姻), 一種叫“鴛鴦婚姻”, 還有很多種婚姻叫法, 日後再跟大家說。 “鴛鴦婚姻”就是今天說的婚外欲。如果大家有讀過我之前的文章都明白“婚外情”跟“婚外欲”是不同的, 這裡不再介紹。 紫微斗數, 一套能夠占卜女生因果的算命術, 古時應用, 今天應用, 將來也應用。 如有任何問題,歡迎聯絡: 林小姐: 13726267799(晚8時後) 或加微信號 13726267799 熊神進:澳門 853-66618785 公共微信: macaumasterxiong 私人微信: macaumickey 淘寶風水法器店::http://t.cn/R212476 Facebook: 熊神進(澳門風水師) 中國澳門風水掌相學會會長(澳門政府註冊) 熊神進玄學信箱 https://goo.gl/jAVv8U

轉角處的正宗馬拉菜:馬來東
澳城餐飲
OHChance 旅遊誌・2020-04-13

疫情下無得去旅行,惟有舌頭去旅行。 在鏡湖醫院附近有一家馬來西亞華人開的馬拉菜餐廳 "馬來東"。絕對是無得去馬來西亞玩,又想食馬拉野的好選擇。剛好這家在澳覓上也有這家店,午餐就落單選擇吃馬拉菜。 這家店以前也堂食過,店面不大,店主來自北部的玻璃市(與泰國接壤)。本來是來澳門的酒店工作,倒是在2018年改行出來開正宗馬來西亞菜餐廳。   無論你看APP或是入店內看MENU,會令你馬上思考片刻的是藍色的 Nasi Lemak(椰漿飯),菜單上是寫 "蘭花椰漿飯"。 老闆說飯內加了一點點蝶豆花,所以煮出來是淡藍色的,聽到蝶豆花馬上想到的是泰國之前盛行的星空飲料。不過這個椰漿飯倒是少了點椰漿味,對於像小燦喜歡濃味的人,有點不夠喉。   另一樣一定要嘗嘗的,就是咖央(Kaya)多士。這裡的咖央顏色跟一般印象的淡得多。  "我們主要用班蘭葉,椰糖沒加多少。"   叉起一塊小多士沾點咖央,一口下去班蘭香大於一切,證明老闆句句屬實。不過還是甜的,放心。  肉骨茶也是招牌,老闆說就返本地人口味沒那麼濃。但其實有隱藏版menu,來吃的馬拉外僱都會叫老闆解鎖食返原味。老闆話想食的話同佢地講聲,自然變返個100% oringial 上檯。  檳城蝦麵個人也覺得是個好選擇,料多實在,又排骨又蝦仲要大大碗。 飲品方面,必需來一杯桔仔冰,酸甜爽口。當然也可以像小燦一樣,來杯東南亞最hit 的凍美綠,不過老闆一樣做了在地化,甜度大概只有在馬來西亞的三分一。  價錢方面當然就不能跟馬來西亞比,跟澳門一般茶記咁上下。大家想食下馬拉野可以下次叫呢間試下。   #支持抗疫#不堂食不聚餐#照片為舊照 下載 OHChance 手機 APP, 特價資訊直送你手!   === 想搵平機票去玩,即上 OH!Chance!澳燦旅行資訊 https://ohchance.info/ 去日本旅行買咩 JR Pass好?即上 OH!Note!小燦的旅行筆記做功課 https://ohnote.info/ 唔知間航空公司好唔好坐?馬上 Subscribe OH Chance Youtube 睇睇佢:https://youtube.com/c/OHChanceTravel 睇埋 Facebook 專頁 https://fb.com/ohchance 第一時間獲得最新旅遊資訊!