1. 课程导论：Cilium在云原生网络中的核心价值、压测驱动运维的必要性、课程整体架构与学习目标
1.1 Cilium 在云原生网络中的核心价值
在 Kubernetes 成为容器编排事实标准的今天，传统网络模型（如 Flannel、Calico）在应对微服务网格、安全策略、可观测性等复杂需求时逐渐暴露出性能瓶颈与功能短板。Cilium 基于 eBPF（extended Berkeley Packet Filter）技术，将数据面从 iptables 内核模块迁移到 eBPF 虚拟机，实现了网络、安全、可观测性的统一。
| 维度 | 传统方案（iptables/Calico） | Cilium（eBPF） |
|---|---|---|
| 数据面转发 | 线性规则匹配，连接数高时 CPU 飙升 | 哈希表 + 尾调用，O(1) 复杂度，延迟稳定 |
| 安全策略 | 基于 IP + 端口，Pod IP 漂移后规则失效 | 基于身份标识（Endpoint Identity），策略随 Pod 迁移 |
| 可观测性 | 依赖 Sidecar 或额外 Agent，资源开销大 | 内核级指标采集，无侵入，覆盖 L3/L4/L7 |
| 服务网格集成 | 需额外部署 Istio/Linkerd，Sidecar 延迟叠加 | 原生支持 Envoy，可替代 Sidecar 模式 |
核心结论：Cilium 通过 eBPF 将网络控制面与数据面解耦，在保持高性能的同时，提供了传统 CNI 无法比拟的编程扩展能力。对于 SRE 团队而言，这意味着更低的延迟、更细粒度的安全控制以及更丰富的可观测数据源。
1.2 压测驱动运维的必要性
容器网络在静态配置下表现良好，但生产环境的流量突发、Pod 大规模扩缩容、安全策略并发匹配等场景，往往导致网络组件出现非预期退化。传统“先上线、后排查”的运维模式已无法满足 SLA 要求。压测驱动运维的核心逻辑如下：
- 发现性能拐点：通过递增负载，找到 Cilium Agent、eBPF 程序、kube-proxy 替代模式的吞吐与延迟拐点。
- 校准准入策略：NetworkPolicy、CiliumNetworkPolicy 的规则数量与匹配复杂度直接影响转发性能，压测数据可量化策略对延迟的边际影响。
- 建立容量基线：不同节点规格、内核版本、Pod 密度下的网络性能基线，是容量规划与集群扩缩容的依据。
- 验证变更影响：升级 Cilium 版本、调整 eBPF 参数、启用 Hubble 可观测性等变更，需通过压测对比确认无性能回退。
常见误区：部分团队仅用 iperf3 测试裸机带宽，忽略 Pod 间通信、策略匹配、DNS 解析、Service 负载均衡等真实场景。压测场景必须覆盖生产流量的完整路径。
1.3 课程整体架构与学习目标
本课程共 30 章，按“基础→压测→分析→校准→自动化”五阶段递进。整体架构如下：
1.4 学习目标与预期收益
完成本课程后，学员应具备以下能力：
- 目标一：独立搭建 Cilium 压测环境，使用 wrk2、iperf3、httpstat、自定义 eBPF 探针采集网络性能指标。
- 目标二：解读压测报告中的 P50/P95/P99 延迟、吞吐量、CPU 开销、eBPF 程序执行次数等关键指标。
- 目标三：根据压测数据，制定 CiliumNetworkPolicy 的准入规则（如最大规则数、CIDR 匹配深度、L7 协议限制）。
- 目标四：建立基于节点规格、Pod 密度、策略复杂度的容量基线矩阵，指导集群扩缩容决策。
- 目标五：将压测流程集成到 CI/CD 流水线，实现网络性能回归自动化。
前置要求：建议学员具备 Kubernetes 基础运维经验（Pod/Service/NetworkPolicy 概念），了解 eBPF 基本原理。无需精通 C 语言或内核编程。