Názory k článku Vyměnit 200 miliónů certifikátů za den? Let's Encrypt připravuje nejhorší scénář

o epycám se stádem nvme začínáme také přemýšlet, dají se pak poměrně velké clustery nacpat do jednoho racku.

25GbE ethernet mi prostě osobně nesedí, ale přičuchl jsem k 56GbE infinibandům a jsem z toho nadšený, za srovnatelnou cenu se s tím daleko lépe pracuje.

ZFS je na tohle skvělý systém, bohužel jeho výchozí nastavení je šílené a udělat to správně pro tyhle rychlé systémy je ještě šílenější, škoda.

12. 2. 2021, 00:55 editováno autorem komentáře

Můžete ten názor na 25Gb Eth vs 56Gb Infiniban trocu rozvést ...
Nebo alespoň nějaký relevantní zdroj, prosím ...

Je to můj osobní názor, zdroje nemám, čerpám z pár pokusů o využití 25 v posledních letech.

1. cena vs. dostupnost - bavím se o SFP28 (cat-8 v rj-45 neznám) a QSFP14+, zasíťovat 20 serverů s TORem, pcie adaptéry, kabely je pořád v 25 drahé a ani po třech letech se nezlepšila dostupnost, čekací doba i měsíce na dodání, naopak QSFP14+ už mají dnes skoro v Globusu, celkově to vychází levněji

2. upstream a breakout - klasicky mám páteřní infrastrukturu v DC na 10, u QSFP14 použiji breakout kabel a mám 4 x 10, u SFP28 mám buď 1x 10, takže potřebuji 4 porty na TORu nebo koupím šíleně drahý QSFP28 a udělám z něho 4 x 10. Sehnat k tomu pak správný TOR s dostatečnou kapacitou, kompatibilitou a počtem portů je občas oříšek

3. správa - mellanox infiniband poskytuje úplně jinou úroveň a nástroje, je to nezvyk mít přehled o síťové vrstvě. OFED drivery v linuxu nad tím umí i ethernet, takže kompatibilitu aplikací nemusím řešit
4. nabídka - produktů s 25 pořád tolik není, je méně výrobců, samotný standard je takový mezi stav

Díky

Co sa pozdava mne a mam otestovane:
25gb SW (cca 100 000 Kc) https://www.supermicro.com/en/products/accessories/networking/SSE-F3548S.php
alebo 25GB od fs.com
Vyhoda je krasna skalovatelnost 1/10/25 pripadne pri supermicro 6x100GB ako uplnik, alebo ako prepoj kritickych serverov.
Za uvahu stoji mozno upgrade rovno na 100GB od supermicra (cena cca 2x ako za 25GB).
Zapojenie do MLAGu (25GB DAC kable).
Treba si ale na zaciatku stanovi, co chcete od tychto SW aby splnali, kedze mozno niektore speci veci nebudu mat, ale na to tu je ONIE.
Cenovo vyhodnejsie ako cisco/dell/aru­ba/jupiter.

Nevíte na jaké to beží databázi?

mám dojem, že mariadb nebo mysql

MariaDB

další detaily o upgrade HW a optimalizacích jsou tady (linky z původního článku)..

upgrade HW a benchmarky:
https://letsencrypt.org/2021/01/21/next-gen-database-servers.html

setup SSD, ZFS, MariaDB:
https://github.com/letsencrypt/openzfs-nvme-databases

Diky za linky, detaily na githubu jsou perfektní.

"Nárůst I/O u diskového subsystému je masivní."

Nějaká přibližná hodnota, kolik iops, atd.. ? :)

Přehlédl jsem linky s benchmarkama. Zbytek jde odhadnout.

Tiež mám rád MySQL (MariaDB), beží na tom 95% celého internetu, kritické aplikácie ako Lets Encrypt, Facebook, Booking.com, UBER apod. Neviem prečo tu na Roote sa tak pretláča PostgreSQL.

To je velmi jednoduché a není v tom žádný tajemný záměr. Je to prostě tím, že Pavel Stěhule má zájem a chuť něco dvakrát do roka o PostgreSQL napsat.

Já se už roky snažím přesvědčit několik odborníků na MySQL, aby o něm psali. Bez úspěchu. Pokud se cítíte, máte prostor.

Zdroj o 95% mate odkud?

tak jsem si pro zajímavost zkusil dohledat, co ty tři firmy, které si vyjmenoval používají.

sice tam na něco málo mysql používaj, ale většinu živejch dat odbavuje cassandra, zbytek maj v hadoopu

Navíc se vsadím, že mají to MySQL upravené.

PostgreSQL vždy rychle adoptoval nové standardy. Co si pamatuju, tak už před 10 lety uměl věci, které umí MySQL teprve teď. Takže pak máte mnohem méně programování dotazů, v situacích kdy potřebujete udělat složitější custom SQL dotaz napřímo (tj. mimo DB prostředky použitého frameworku).

Pěkné ale...

Letsům fandím od začátku. Upgrade vypadá pěkně, ale...
Je vhodné takovou klíčovou službu držet centralizovanou?

Nebylo vhodné začít se ohledně free certifikátů zabývat decentralizova­nějším modelem? Dovedu si představit spolupráci Letsů s národními NICy, případně i většími a důvěryhodnými registrátory / hostéry.

Opatrne s tým a vyjsť občas zo svojej bubliny. Nie všade je lokálny NIC otvorený a prispieva komunite. Niekde je to priamo boj :(

Decentralizovat, ano. Ale spíše než přesunovat k NIC, tak bych přesun spíše viděl směrem k DNS: DANE https://en.wikipedia.org/wiki/DNS-based_Authentication_of_Named_Entities.

na DANE jsem se těšil, nevím, proč ho velké společnosti ignorovali a zatím to na oživení nevypadá.

Aby DANE dávalo smysl, je potřeba mít nasazené DNSSEC. To ještě zdaleka není pravidlem. Navíc je pořád dost sítí, ve kterých validace DNSSEC nefunguje – tj. i když se o to pokusí koncové zařízení, místní resolver je rozbitý a nepředá správné záznamy. Dalším argumentem bylo to, že další DNS dotazy zpomalují dobu prvního načtení stránky.

Paradoxně by v tomhle mohlo pomoci DoH, protože tím se obejdou rozbité místní implementace DNS resolverů, je tam i prostor pro urychlení dotazování.

Je pravda, že spolupráce s NICy by musela mít jasné mantinely.

DANE by bylo fajn, ale přijde mi, že je kolem toho tak ticho po pěšině, až upadá v zapomnění. Minimálně já si ho v tom kontextu ani nevybavil. Díky za připomenutí.