3. Cilium 安装与部署：使用 Helm 安装 Cilium、配置 kube-proxy 替代、验证集群状态

在生产环境中部署 Cilium 时，Helm 是官方推荐的标准方式。它提供了声明式的配置管理、版本回滚和参数化安装能力。本章将引导你完成从 Helm 仓库配置到集群状态验证的完整流程，并重点讲解 kube-proxy 替代 这一关键架构决策。

3.1 安装前提与 Helm 仓库配置

在安装 Cilium 之前，请确保你的 Kubernetes 集群满足以下最低版本要求：

首先添加 Cilium 的官方 Helm 仓库并更新索引：

helm repo add cilium https://helm.cilium.io/
helm repo update

3.2 使用 Helm 安装 Cilium（含 kube-proxy 替代）

kube-proxy 替代是 Cilium 的核心能力之一。通过 kube-proxy 替代，Cilium 使用 eBPF 直接处理 Service 负载均衡、NodePort 和 ClusterIP 转发，消除了对 iptables 的依赖，显著提升性能并降低延迟。

以下命令将安装 Cilium 并启用 kube-proxy 替代模式：

helm install cilium cilium/cilium \
  --namespace kube-system \
  --set kubeProxyReplacement=true \
  --set k8sServiceHost=<API_SERVER_IP> \
  --set k8sServicePort=6443 \
  --set hubble.relay.enabled=true \
  --set hubble.ui.enabled=true

参数说明：

• kubeProxyReplacement=true：启用完整的 kube-proxy 替代，Cilium 接管所有 Service 逻辑。
• k8sServiceHost / k8sServicePort：指定 Kubernetes API Server 的地址和端口，Cilium Agent 需要此信息与 API Server 通信。
• hubble.relay.enabled / hubble.ui.enabled：启用 Hubble 可观测性组件，用于后续的网络策略调试。

3.3 kube-proxy 替代架构图

下图展示了启用 kube-proxy 替代后，Cilium Agent 如何通过 eBPF 程序直接处理 Service 流量，绕过传统的 iptables 和 kube-proxy 组件。

3.4 验证集群状态

安装完成后，执行以下步骤验证 Cilium 是否正常运行：

1. 检查 Pod 状态： 确认所有 Cilium Agent Pod 处于 Running 状态。
2. 验证 kube-proxy 替代： 检查 Cilium Agent 日志，确认 kube-proxy 替代已启用。
3. 测试 Service 连通性： 创建一个测试 Deployment 和 Service，验证 ClusterIP 和 NodePort 访问正常。

# 1. 检查 Cilium Pod 状态
kubectl -n kube-system get pods -l k8s-app=cilium

# 2. 验证 kube-proxy 替代状态
kubectl -n kube-system exec ds/cilium -- cilium status | grep KubeProxyReplacement

# 3. 测试 Service 连通性
kubectl create deployment nginx --image=nginx
kubectl expose deployment nginx --port=80 --type=ClusterIP
kubectl run test --image=busybox --rm -it -- wget -O- http://nginx

3.5 常见安装问题排查

3.6 安装后验证流程图

以下流程图总结了安装完成后的验证步骤，帮助你快速定位问题：