4. 租户隔离模型：多租户网络隔离需求、基于VLAN/VXLAN的隔离、基于Cilium的eBPF隔离方案

4.1 多租户网络隔离的核心需求

在云计算与容器化环境中，多租户（Multi-Tenancy）意味着多个用户或业务单元共享同一套物理基础设施。网络隔离是保障租户安全与性能的基石，其核心需求可归纳为以下四点：

4.2 基于VLAN/VXLAN的传统隔离方案

在eBPF普及之前，网络隔离主要依赖VLAN（802.1Q）和VXLAN（RFC 7348）两种Overlay技术。它们通过封装机制在共享物理网络上构建逻辑隔离网络。

4.2.1 VLAN隔离模型

• 原理： 在以太网帧头插入4字节VLAN Tag（12位VID），将物理LAN划分为多个逻辑广播域。
• 隔离粒度： 最多4096个VLAN（VID 0-4095），适用于小型数据中心。
• 局限： 二层网络规模受限（STP收敛慢）、无法跨三层网络、租户数量超过4094时失效。

4.2.2 VXLAN隔离模型

• 原理： 将二层以太帧封装在UDP包中（VTEP），通过24位VNI标识租户，支持1600万+逻辑网络。
• 优势： 跨三层Underlay网络、利用ECMP负载均衡、支持大规模多租户。
• 代价： 封装/解封装消耗CPU（需硬件Offload）、MTU膨胀（50字节开销）、隧道管理复杂。

4.3 基于Cilium的eBPF隔离方案

Cilium 是首个将 eBPF 作为核心数据平面的 CNI 插件。它摒弃了传统 iptables 和 Overlay 封装的性能瓶颈，直接在 Linux 内核中通过 eBPF 程序实现租户隔离。其隔离模型基于 Identity（安全身份） 而非 IP 地址。

4.3.1 Cilium 隔离架构核心组件

• Identity (安全身份)： 每个 Pod/容器在启动时被分配一个 24-bit 的 Security Identity，存储在 eBPF Map 中。身份基于标签（Label）派生，而非 IP。
• eBPF Policy Engine： 在 XDP 和 TC 钩子点加载 eBPF 程序，直接对每个数据包执行身份查找与策略匹配，无需经过 iptables 规则链。
• Encapsulation Bypass： 默认使用原生路由（Native Routing）或直接路由（Direct Routing），仅在跨节点且网络不可达时使用 VXLAN/Geneve 封装。
• Hubble： 基于 eBPF 的观测层，实时捕获被允许/拒绝的流量，提供租户级别的网络审计。

4.3.2 基于Identity的隔离流程

1. 身份分配： Pod 创建时，Cilium Agent 根据其 Kubernetes Label（如 app=frontend, tenant=acme）计算 Identity。
2. eBPF Map 同步： Identity 与对应的网络策略（允许/拒绝规则）被写入全局 eBPF Map。
3. 数据包到达： 当 Pod-A 发送数据包到 Pod-B 时，XDP/TC 钩子中的 eBPF 程序提取源/目的 Identity。
4. 策略匹配： eBPF 程序在 cilium_policy Map 中查找 (src_id, dst_id, port) 元组，若命中允许规则则放行，否则丢弃。
5. 审计日志： 所有匹配结果（通过/丢弃）通过 perf_event 或 Hubble 导出，供观测系统消费。

4.4 三种隔离方案综合对比