कुबर्नेट्ससाठी इंग्रेस कंट्रोलर्सचे विहंगावलोकन आणि तुलना

विशिष्ट ऍप्लिकेशनसाठी कुबर्नेट्स क्लस्टर लाँच करताना, तुम्हाला हे समजणे आवश्यक आहे की ऍप्लिकेशन स्वतः, व्यवसाय आणि डेव्हलपर या संसाधनासाठी काय पोज करतात. या माहितीसह, आपण आर्किटेक्चरल निर्णय घेण्यास प्रारंभ करू शकता आणि विशेषतः, विशिष्ट इंग्रेस कंट्रोलर निवडणे सुरू करू शकता, ज्यापैकी आज आधीपासूनच मोठ्या संख्येने आहेत. भरपूर लेख/दस्तऐवज इत्यादींचा अभ्यास न करता उपलब्ध पर्यायांची प्राथमिक कल्पना मिळविण्यासाठी, आम्ही मुख्य (उत्पादन तयार) प्रवेश नियंत्रकांसह हे विहंगावलोकन तयार केले आहे.

आम्हाला आशा आहे की हे सहकार्‍यांना आर्किटेक्चरल सोल्यूशन निवडण्यात मदत करेल - किमान ते अधिक तपशीलवार माहिती आणि व्यावहारिक प्रयोग मिळविण्यासाठी एक प्रारंभिक बिंदू बनेल. पूर्वी, आम्‍ही नेटवर इतर तत्सम सामग्रीचा अभ्यास केला आणि विचित्रपणे, एकही कमी-अधिक पूर्ण, आणि सर्वात महत्त्वाचे म्हणजे - संरचित - पुनरावलोकन आढळले नाही. चला तर मग ती पोकळी भरूया!

निकष

तत्त्वतः, तुलना करण्यासाठी आणि कोणतेही उपयुक्त परिणाम मिळविण्यासाठी, तुम्हाला केवळ विषयाचे क्षेत्रच नाही तर निकषांची विशिष्ट यादी देखील समजून घेणे आवश्यक आहे जे संशोधन वेक्टर सेट करेल. Ingress / Kubernetes वापरण्याच्या सर्व संभाव्य प्रकरणांचे विश्लेषण न करता, आम्ही नियंत्रकांसाठी सर्वात सामान्य आवश्यकता हायलाइट करण्याचा प्रयत्न केला - कोणत्याही परिस्थितीत तुम्हाला तुमच्या सर्व तपशील आणि तपशीलांचा स्वतंत्रपणे अभ्यास करावा लागेल यासाठी तयार रहा.

परंतु मी अशा वैशिष्ट्यांसह प्रारंभ करेन जे इतके परिचित झाले आहेत की ते सर्व उपायांमध्ये लागू केले जातात आणि विचारात घेतले जात नाहीत:

• सेवांचा डायनॅमिक शोध (सेवा शोध);
• SSL समाप्ती;
• वेबसॉकेटसह कार्य करणे.

आता तुलनात्मक मुद्यांसाठी:

समर्थित प्रोटोकॉल

मूलभूत निवड निकषांपैकी एक. तुमचे सॉफ्टवेअर मानक HTTP वर कार्य करू शकत नाही किंवा त्यासाठी एकाच वेळी अनेक प्रोटोकॉलवर काम करणे आवश्यक असू शकते. जर तुमची केस मानक नसलेली असेल, तर हा घटक लक्षात घ्या जेणेकरून तुम्हाला नंतर क्लस्टर पुन्हा कॉन्फिगर करावे लागणार नाही. सर्व नियंत्रकांसाठी, समर्थित प्रोटोकॉलची यादी बदलते.

मूळ सॉफ्टवेअर

ऍप्लिकेशन्सच्या अनेक भिन्नता आहेत ज्यावर कंट्रोलर आधारित आहे. लोकप्रिय आहेत nginx, traefik, haproxy, envoy. सर्वसाधारणपणे, रहदारी कशी प्राप्त होते आणि प्रसारित केली जाते यावर त्याचा फारसा परिणाम होणार नाही, परंतु "अंडर द हुड" काय आहे याची संभाव्य बारकावे आणि वैशिष्ट्ये जाणून घेणे नेहमीच उपयुक्त असते.

वाहतूक मार्ग

एखाद्या विशिष्ट सेवेकडे रहदारीच्या दिशेने निर्णय घेणे कशाच्या आधारावर शक्य आहे? सहसा हे होस्ट आणि पथ असतात, परंतु अतिरिक्त शक्यता असतात.

क्लस्टरमधील नेमस्पेस

नेमस्पेस (नेमस्पेस) - कुबर्नेट्समधील संसाधने तार्किकरित्या विभाजित करण्याची क्षमता (उदाहरणार्थ, स्टेजवर, उत्पादनावर, इ.). असे इंग्रेस कंट्रोलर आहेत जे प्रत्येक नेमस्पेसमध्ये स्वतंत्रपणे स्थापित केले पाहिजेत (आणि नंतर ते रहदारी निर्देशित करू शकतात फक्त या जागेच्या शेंगांकडे). आणि असे आहेत (आणि त्यांचे स्पष्ट बहुमत) जे संपूर्ण क्लस्टरसाठी जागतिक स्तरावर कार्य करतात - त्यांच्यामध्ये रहदारी क्लस्टरच्या कोणत्याही पॉडवर निर्देशित केली जाते, नेमस्पेसची पर्वा न करता.

अपस्ट्रीमसाठी नमुने

अॅप्लिकेशन, सेवांच्या निरोगी उदाहरणांकडे रहदारी कशी निर्देशित केली जाते? सक्रिय आणि निष्क्रिय चेक, पुन्हा प्रयत्न, सर्किट ब्रेकरसह पर्याय आहेत (अधिक तपशीलांसाठी, पहा, उदाहरणार्थ, Istio बद्दल लेख), सानुकूल आरोग्य तपासणी इ. तुमच्याकडे उपलब्धता आणि अयशस्वी सेवा समतोल करण्यापासून वेळेवर काढण्यासाठी उच्च आवश्यकता असल्यास एक अतिशय महत्त्वाचा पॅरामीटर.

अल्गोरिदम संतुलित करणे

बरेच पर्याय आहेत: पारंपारिक पासून गोल-रॉबिन विदेशी करण्यासाठी rdp-कुकी, तसेच वैयक्तिक वैशिष्ट्ये जसे चिकट सत्रे.

प्रमाणीकरण

नियंत्रक कोणत्या अधिकृत योजनांना समर्थन देतो? बेसिक, डायजेस्ट, ऑउथ, एक्सटर्नल-ऑथ - मला वाटते हे पर्याय परिचित असावेत. जर अनेक विकसक (आणि/किंवा फक्त खाजगी) लूप असतील ज्यात इंग्रेसद्वारे प्रवेश केला जातो तर हा एक महत्त्वाचा निकष आहे.

वाहतूक वितरण

कंट्रोलर कॅनरी रोलआउट्स (कॅनरी), A/B चाचणी, ट्रॅफिक मिररिंग (मिररिंग/शॅडोइंग) यांसारख्या सामान्यतः वापरल्या जाणार्‍या रहदारी वितरण यंत्रणेस समर्थन देतो का? हा अनुप्रयोगांसाठी खरोखरच त्रासदायक विषय आहे ज्यासाठी उत्पादक चाचणीसाठी अचूक आणि अचूक रहदारी व्यवस्थापन आवश्यक आहे, उत्पादनातील बग ऑफ-लाइन (किंवा कमीत कमी नुकसानासह), रहदारी विश्लेषण आणि इतर गोष्टी डीबग करणे आवश्यक आहे.

सशुल्क सदस्यता

नियंत्रकासाठी प्रगत कार्यक्षमता आणि/किंवा तांत्रिक समर्थनासह सशुल्क पर्याय आहे का?

ग्राफिकल यूजर इंटरफेस (वेब ​​UI)

कंट्रोलर कॉन्फिगरेशन व्यवस्थापित करण्यासाठी कोणतेही GUI आहे का? मुख्यतः "हॅंडीनेस" आणि/किंवा ज्यांना Ingress'a कॉन्फिगरेशनमध्ये काही बदल करणे आवश्यक आहे त्यांच्यासाठी, परंतु "कच्चे" टेम्पलेट्ससह कार्य करणे गैरसोयीचे आहे. डेव्हलपर्सना फ्लाय ऑन ट्रॅफिकचे काही प्रयोग करायचे असल्यास ते उपयुक्त ठरू शकते.

JWT प्रमाणीकरण

अंतिम अनुप्रयोगापर्यंत वापरकर्त्याच्या अधिकृततेसाठी आणि प्रमाणीकरणासाठी JSON वेब टोकनच्या अंगभूत प्रमाणीकरणाची उपस्थिती.

कॉन्फिगरेशन सानुकूलित करण्याची शक्यता

टेम्प्लेट एक्स्टेंसिबिलिटी म्हणजे तुम्हाला मानक कॉन्फिगरेशन टेम्पलेट्समध्ये तुमचे स्वतःचे निर्देश, ध्वज इ. जोडण्याची परवानगी देणारी यंत्रणा असणे.

मूलभूत DDOS संरक्षण यंत्रणा

पत्ते, श्वेतसूची, देश इत्यादींवर आधारित साधे दर मर्यादा अल्गोरिदम किंवा अधिक जटिल रहदारी फिल्टरिंग पर्याय.

ट्रेसची विनंती करा

विशिष्ट सेवा/पॉड्स आणि आदर्शपणे सेवा/पॉड्समध्ये प्रवेश केलेल्या विनंत्यांचे निरीक्षण, ट्रॅक आणि डीबग करण्याची क्षमता.

डब्ल्यूएएफ

आधार अनुप्रयोग फायरवॉल.

नियंत्रक

यावर आधारित नियंत्रकांची यादी तयार करण्यात आली अधिकृत Kubernetes दस्तऐवजीकरण и हे टेबल. विशिष्टता किंवा कमी प्रसारामुळे (विकासाचा प्रारंभिक टप्पा) आम्ही त्यापैकी काहींना पुनरावलोकनातून वगळले आहे. उर्वरित खाली चर्चा केली आहे. चला उपायांच्या सामान्य वर्णनासह प्रारंभ करूया आणि सारांश सारणीसह पुढे जाऊ या.

Kubernetes पासून प्रवेश

वेबसाइट: github.com/kubernetes/ingress-nginx
परवाना: Apache 2.0

हे कुबर्नेट्ससाठी अधिकृत नियंत्रक आहे आणि समुदायाद्वारे विकसित केले जात आहे. स्पष्टपणे नावावरून, ते nginx वर आधारित आहे आणि अतिरिक्त वैशिष्ट्ये लागू करण्यासाठी वापरल्या जाणार्‍या लुआ प्लगइनच्या वेगळ्या संचाद्वारे पूरक आहे. स्वतः nginx च्या लोकप्रियतेमुळे आणि कंट्रोलर म्हणून वापरताना त्यात कमीत कमी बदल केल्यामुळे, हा पर्याय सरासरी अभियंता (वेब ​​अनुभवासह) साठी कॉन्फिगर करणे सर्वात सोपा आणि सर्वात सोपा असू शकतो.

NGINX Inc द्वारे प्रवेश

वेबसाइट: github.com/nginxinc/kubernetes-ingress
परवाना: Apache 2.0

nginx विकसकांचे अधिकृत उत्पादन. वर आधारित सशुल्क आवृत्ती आहे एनजीआयएनएक्स प्लस. मुख्य कल्पना म्हणजे उच्च पातळीची स्थिरता, सतत मागासलेली सुसंगतता, कोणत्याही बाह्य मॉड्यूलची अनुपस्थिती आणि घोषित वाढीव गती (अधिकृत नियंत्रकाच्या तुलनेत), लुआच्या नकारामुळे प्राप्त झालेली.

अधिकृत नियंत्रक (समान लुआ मॉड्यूल्सच्या कमतरतेमुळे) सोबत तुलना करताना देखील विनामूल्य आवृत्ती लक्षणीयरीत्या कमी केली आहे. त्याच वेळी, सशुल्क व्यक्तीकडे बर्‍यापैकी विस्तृत अतिरिक्त कार्यक्षमता असते: रिअल-टाइम मेट्रिक्स, JWT प्रमाणीकरण, सक्रिय आरोग्य तपासणी आणि बरेच काही. NGINX Ingress वर एक महत्त्वाचा फायदा म्हणजे TCP/UDP रहदारीसाठी पूर्ण समर्थन (आणि समुदाय आवृत्तीमध्येही!). उणे - च्या अभाव रहदारी वितरण वैशिष्ट्य, ज्याला, तथापि, "विकासकांसाठी सर्वोच्च प्राधान्य आहे," परंतु अंमलबजावणीसाठी वेळ लागतो.

कॉँग इंग्रेस

वेबसाइट: github.com/Kong/kubernetes-ingress-controller
परवाना: Apache 2.0

कॉँग इंक द्वारा विकसित उत्पादन. दोन आवृत्त्यांमध्ये: व्यावसायिक आणि विनामूल्य. nginx वर आधारित, जे मोठ्या संख्येने लुआ मॉड्यूल्ससह विस्तारित केले गेले आहे.

सुरुवातीला, ते API विनंत्यांवर प्रक्रिया आणि राउटिंग करण्यावर केंद्रित होते, म्हणजे एपीआय गेटवे म्हणून, परंतु याक्षणी तो एक पूर्ण वाढ झालेला प्रवेश नियंत्रक बनला आहे. मुख्य फायदे: अनेक अतिरिक्त मॉड्यूल (तृतीय-पक्ष विकासकांच्या समावेशासह) जे स्थापित करणे आणि कॉन्फिगर करणे सोपे आहे आणि ज्याच्या मदतीने अतिरिक्त वैशिष्ट्यांची विस्तृत श्रेणी लागू केली जाते. तथापि, अंगभूत फंक्शन्स आधीपासूनच अनेक शक्यता देतात. जॉब कॉन्फिगरेशन सीआरडी संसाधने वापरून केले जाते.

उत्पादनाचे एक महत्त्वाचे वैशिष्ट्य - समान समोच्च (क्रॉस-नेमस्पेसऐवजी) मध्ये कार्य करणे हा एक विवादास्पद विषय आहे: काहींना तो गैरसोय वाटेल (आपल्याला प्रत्येक समोच्चसाठी घटक तयार करावे लागतील), आणि एखाद्यासाठी - एक वैशिष्ट्य ( bоअलगावची मोठी पातळी, जसे जर एक नियंत्रक तुटला असेल तर समस्या फक्त सर्किटपुरती मर्यादित आहे).

ट्रॅफिक

वेबसाइट: github.com/containous/traefik
परवाना: MIT

एक प्रॉक्सी जी मूळत: मायक्रो सर्व्हिसेस आणि त्यांच्या डायनॅमिक वातावरणासाठी विनंती रूटिंगसह कार्य करण्यासाठी तयार केली गेली होती. म्हणून, अनेक उपयुक्त वैशिष्ट्ये: अजिबात रीबूट न ​​करता कॉन्फिगरेशन अद्यतनित करणे, मोठ्या संख्येने बॅलन्सिंग पद्धतींसाठी समर्थन, वेब इंटरफेस, मेट्रिक्स फॉरवर्डिंग, विविध प्रोटोकॉलसाठी समर्थन, REST API, कॅनरी प्रकाशन आणि बरेच काही. लेट्स एन्क्रिप्ट सर्टिफिकेट्स आउट ऑफ द बॉक्ससाठी समर्थन हे आणखी एक छान वैशिष्ट्य आहे. गैरसोय असा आहे की उच्च उपलब्धता (HA) आयोजित करण्यासाठी, कंट्रोलरला स्वतःचे केव्ही स्टोरेज स्थापित आणि कनेक्ट करणे आवश्यक आहे.

हाप्रोक्सी

वेबसाइट: github.com/jcmoraisjr/haproxy-ingress
परवाना: Apache 2.0

HAProxy ला प्रॉक्सी आणि ट्रॅफिक बॅलन्सर म्हणून ओळखले जाते. Kubernetes क्लस्टरचा भाग म्हणून, ते "सॉफ्ट" कॉन्फिगरेशन अपडेट (ट्रॅफिक न गमावता), DNS वर आधारित सेवा शोध, API वापरून डायनॅमिक कॉन्फिगरेशन ऑफर करते. CM बदलून कॉन्फिगरेशन टेम्पलेट पूर्णपणे सानुकूलित करणे आकर्षक असू शकते, तसेच त्यात Sprig लायब्ररी फंक्शन्स वापरण्याची क्षमता देखील असू शकते. सर्वसाधारणपणे, सोल्यूशनचा मुख्य जोर उच्च गती, त्याचे ऑप्टिमायझेशन आणि उपभोगलेल्या संसाधनांमध्ये कार्यक्षमता यावर आहे. कंट्रोलरचा फायदा म्हणजे वेगवेगळ्या बॅलन्सिंग पद्धतींच्या रेकॉर्ड नंबरचे समर्थन.

व्हॉयेजर

वेबसाइट: github.com/appscode/voyager
परवाना: Apache 2.0

HAproxy कंट्रोलरवर आधारित, जे एक सार्वत्रिक समाधान म्हणून स्थित आहे जे मोठ्या संख्येने प्रदात्यांच्या वैशिष्ट्यांच्या विस्तृत श्रेणीचे समर्थन करते. L7 आणि L4 वर रहदारी संतुलित करण्यासाठी एक संधी दिली जाते आणि TCP L4 ट्रॅफिक संपूर्णपणे संतुलित करणे हे समाधानाच्या मुख्य वैशिष्ट्यांपैकी एक म्हटले जाऊ शकते.

कंटूर

वेबसाइट: github.com/heptio/contour
परवाना: Apache 2.0

हे समाधान केवळ दूतावर आधारित नाही: ते विकसित केले गेले संयुक्तपणे या लोकप्रिय प्रॉक्सीच्या लेखकांसह. एक महत्त्वाचे वैशिष्ट्य म्हणजे IngressRoute CRD संसाधने वापरून Ingress संसाधनांचे वेगळे नियंत्रण करण्याची क्षमता. एकाच क्लस्टरचा वापर करणार्‍या अनेक डेव्हलपमेंट टीम असलेल्या संस्थांसाठी, हे शेजारच्या लूपमध्ये रहदारीसह काम करण्याची सुरक्षा वाढवण्यास मदत करते आणि इंग्रेस संसाधने बदलताना त्रुटींपासून त्यांचे संरक्षण करते.

हे समतोल साधण्याच्या पद्धतींचा विस्तारित संच देखील ऑफर करते (विनंत्यांचे मिररिंग, स्वयं-पुनरावृत्ती, विनंतीचा दर मर्यादित करणे आणि बरेच काही), रहदारी प्रवाह आणि अपयशांचे तपशीलवार निरीक्षण. कदाचित एखाद्यासाठी ते चिकट सत्रांसाठी समर्थन नसणे ही एक महत्त्वपूर्ण कमतरता असेल (जरी काम आधीच चालू आहे).

Istio प्रवेश

वेबसाइट: istio.io/docs/tasks/traffic-management/ingress
परवाना: Apache 2.0

एक सर्वसमावेशक सर्व्हिस मेश सोल्यूशन जो केवळ एक इंग्रेस कंट्रोलर नाही जो बाहेरून येणाऱ्या ट्रॅफिकचे व्यवस्थापन करतो, परंतु क्लस्टरमधील सर्व ट्रॅफिक देखील नियंत्रित करतो. हुड अंतर्गत, दूत प्रत्येक सेवेसाठी साइडकार प्रॉक्सी म्हणून वापरला जातो. थोडक्यात, हे एक मोठे संयोजन आहे जे "काहीही करू शकते" आणि त्याची मुख्य कल्पना कमाल व्यवस्थापनता, विस्तारक्षमता, सुरक्षा आणि पारदर्शकता आहे. याच्या मदतीने तुम्ही ट्रॅफिक राउटिंग, सेवांमधील अधिकृतता, बॅलन्सिंग, मॉनिटरिंग, कॅनरी रिलीझ आणि बरेच काही फाइन-ट्यून करू शकता. लेखांच्या मालिकेत Istio बद्दल अधिक वाचा "Istio सह microservices वर परत».

राजदूत

वेबसाइट: github.com/datawire/ambassador
परवाना: Apache 2.0

दूतावर आधारित दुसरा उपाय. त्याच्या विनामूल्य आणि व्यावसायिक आवृत्त्या आहेत. हे "कुबरनेटचे पूर्णपणे मूळ" म्हणून स्थित आहे, जे संबंधित फायदे आणते (K8s क्लस्टरच्या पद्धती आणि घटकांसह घट्ट एकत्रीकरण).

तुलना सारणी

तर, लेखाचा कळस हा मोठा टेबल आहे:

जवळून पाहण्यासाठी ते क्लिक करण्यायोग्य आहे आणि स्वरूपात देखील उपलब्ध आहे Google पत्रक.

चला बेरीज करूया

या लेखाचा उद्देश आपल्या विशिष्ट प्रकरणात कोणती निवड करावी याबद्दल अधिक संपूर्ण समज प्रदान करणे (तथापि, कोणत्याही प्रकारे संपूर्ण नाही!) आहे. नेहमीप्रमाणे, प्रत्येक नियंत्रकाचे स्वतःचे फायदे आणि तोटे आहेत…

Kubernetes मधील क्लासिक इंग्रेस त्याच्या उपलब्धतेसाठी आणि सिद्धतेसाठी चांगले आहे, पुरेशी समृद्ध वैशिष्ट्ये - सर्वसाधारणपणे, ते "डोळ्यांसाठी पुरेसे" असावे. तथापि, स्थिरता, वैशिष्‍ट्ये आणि विकासाची पातळी वाढवण्‍यासाठी आवश्‍यकता असल्‍यास, तुम्‍ही NGINX Plus आणि सशुल्‍क सदस्‍यतेसह Ingress वर लक्ष दिले पाहिजे. काँगकडे प्लग-इन्सचा सर्वात श्रीमंत संच आहे (आणि त्यानुसार, त्यांनी प्रदान केलेल्या संधी), आणि सशुल्क आवृत्तीमध्ये त्यापैकी बरेच काही आहेत. यात API गेटवे, CRD संसाधनांवर आधारित डायनॅमिक कॉन्फिगरेशन, तसेच मूलभूत कुबर्नेट्स सेवा म्हणून काम करण्याच्या भरपूर संधी आहेत.

संतुलन आणि अधिकृतता पद्धतींसाठी वाढीव आवश्यकतांसह, Traefik आणि HAProxy वर एक नजर टाका. हे ओपन सोर्स प्रकल्प आहेत, वर्षानुवर्षे सिद्ध झालेले, अतिशय स्थिर आणि सक्रियपणे विकसित होत आहेत. कॉन्टूरला आता दोन वर्षे झाली आहेत, पण तरीही तो खूपच तरुण दिसतो आणि त्यात फक्त मूलभूत वैशिष्ट्ये जोडलेली आहेत. अनुप्रयोगासमोर WAF च्या उपस्थिती / एम्बेडिंगसाठी आवश्यकता असल्यास, आपण Kubernetes किंवा HAProxy कडून समान प्रवेशाकडे लक्ष दिले पाहिजे.

आणि वैशिष्ट्यांच्या बाबतीत सर्वात श्रीमंत म्हणजे दूत, विशेषत: Istio वर तयार केलेली उत्पादने. हे एक सर्वसमावेशक उपाय आहे असे दिसते की "काहीही करू शकतो", ज्याचा अर्थ इतर उपायांपेक्षा कॉन्फिगरेशन / लॉन्च / प्रशासनासाठी लक्षणीय उच्च एंट्री थ्रेशोल्ड देखील आहे.

आम्‍ही 80-90% गरजा कव्हर करणार्‍या मानक नियंत्रक म्हणून Kubernetes कडून Ingress निवडले आहे आणि अजूनही वापरतो. हे अगदी विश्वासार्ह आहे, कॉन्फिगर करणे आणि विस्तृत करणे सोपे आहे. सर्वसाधारणपणे, विशिष्ट आवश्यकतांच्या अनुपस्थितीत, ते बहुतेक क्लस्टर्स/अनुप्रयोगांना अनुरूप असावे. समान सार्वत्रिक आणि तुलनेने सोप्या उत्पादनांपैकी, Traefik आणि HAProxy ची शिफारस केली जाऊ शकते.

PS

आमच्या ब्लॉगवर देखील वाचा:

• "इस्टिओसह मायक्रो सर्व्हिसेसकडे परत जा": भाग १ (मुख्य वैशिष्ट्यांचा परिचय), भाग २ (मार्ग, वाहतूक नियंत्रण), भाग 3 (प्रमाणीकरण आणि अधिकृतता);
• «Kubernetes टिपा आणि युक्त्या: NGINX प्रवेश मधील सानुकूल त्रुटी पृष्ठे";
• «Kubernetes टिपा आणि युक्त्या: dev साइटवर प्रवेश».

स्त्रोत: www.habr.com