ну так сделай два блока upstream, для разных схем

а трафик дели через split_client

ну и перехват ошибок, чтобы спроксировать на соседа, если что

но правильнее - одна scheme на всех

Основная задача как раз обеспечить отказоустойчивость, со split_client как-то костыльно получается.

Видимо да, локальная петля наше все :)
Спасибо за советы!

либо сделай туннель наружу и ходи по http

Думал, но серверов много, а поднять туннели между всеми серверами свихнуться можно будет :)

тогда да, сделать https для локального

привет, ребят, вы когданибудь настраивал вот такие параметры в nginx?

* nginx.ingress.kubernetes.io/proxy-next-upstream: "error timeout http_502 http_503"
* nginx.ingress.kubernetes.io/proxy-next-upstream-timeout: "0"
* nginx.ingress.kubernetes.io/proxy-next-upstream-tries: "0"

если кратко, то я понимаю их так:

* передача запроса апстриму будет только при условии, когда клиенту ещё ничего не возвращалось, то есть, если ошибка или таймаут возникли во время передачи клиенту, то это происходить не будет

* error, timeout и invalid_header - будут всегда считатся, неудачей, даже если не указать в конфиге, а вот такие параметры - http_5.., http_429 - будут работать только если их указать в конфиге

* proxy_next_upstream_timeout 0; - это время в течении которого возможно перекинуть на другой апстрим, если 0 то отключено ограничение
* proxy_next_upstream_timeout 0; - ретраи, их количество, 0 так же все октлючает

Можете помочь понять, как определить тайм-аут правильно? Ретрай дума поставить равный 3

Дефолтные = 0 это как-то странно

Выглядит настройка оч полезной и вроде с ней не выстрелишь в ногу

а вот я выпускал себе сертификаты и навыпускал так что у меня появился какой то лимит и собственно все
потом я узнал что есть тестовая среда для выпуска сертификатов

но у меня такой вопрос, я могу где-то отдельно хранить сгенерированные сертификаты и если мне например надо полностью снести сервер то потом после его настройки использовать их, просто скопировав на продакшн

а во вторых можно ли сделать так чтобы создать отдельный сервер который служил только за сертификатами моего домена и поддоменов и перевыпускал их и давал доступ нужным сервисам извне к этим сертификатам

Можно. Серты - просто файлы. Копируй куда угодно. Выпускать их можно на одном сервере и раскидывать по нужным серверам. Через пост или деплой хуки

а если ты их теряешь то нужно перевыпускать?

сертификаты

отозвать и перевыпустить

но что бы отозвать есть отдельный файлик =)

если ты и его потерял, то я думаю тебе не надо этим вообще заниматься

)