4、升级前的环境评估：Cilium版本兼容性矩阵、Kubernetes版本依赖、内核版本与eBPF特性要求

Cilium 升级并非简单的二进制替换，其核心依赖链涉及 Kubernetes API 版本、内核 eBPF 特性 以及 Cilium 自身组件间的兼容性。跳过环境评估直接升级，极易导致 CNI 插件失效、节点 NotReady 或租户网络策略丢失。本节提供完整的评估清单与兼容性矩阵。

4.1 Cilium 版本兼容性矩阵

Cilium 遵循语义化版本控制，但跨大版本升级（如 1.12 → 1.14）时，CRD 结构、Agent 与 Operator 通信协议、Hubble 数据模型均可能发生不兼容变更。下表列出主流版本的升级路径与关键约束：

4.2 Kubernetes 版本依赖

Cilium 利用 Kubernetes 的 EndpointSlice、NetworkPolicy、Service 等 API 资源。不同 Cilium 版本对 Kubernetes 版本有明确的最低要求：

• Cilium 1.12+：要求 Kubernetes ≥ 1.16（支持 EndpointSlice v1）。
• Cilium 1.14+：要求 Kubernetes ≥ 1.20（支持 Service Topology 与 NodePort 优化）。
• Cilium 1.15+：要求 Kubernetes ≥ 1.24（移除 Dockershim 后的稳定 API）。
• Cilium 1.16+：要求 Kubernetes ≥ 1.26（支持 KubeProxy 替代模式与 Alpha API）。

4.3 内核版本与 eBPF 特性要求

Cilium 的核心能力（如 XDP 加速、Bandwidth Manager、SRv6）依赖特定内核版本的 eBPF 特性。升级前必须确认节点内核是否满足目标 Cilium 版本的最低要求。

4.4 升级前环境评估流程图

以下 SVG 图展示了从收集集群信息到确认升级路径的完整评估流程：

4.5 内核特性检测命令清单

在升级前，建议在每个节点上执行以下命令，确认内核是否支持目标 Cilium 版本所需的 eBPF 特性：

# 检查内核版本
uname -r

# 检查 BPF 辅助函数支持
bpftool feature probe | grep -E "bpf_skb_change_tail|bpf_xdp_adjust_head"

# 检查 BPF 映射类型
bpftool feature probe | grep -E "BPF_MAP_TYPE_PERCPU_HASH|BPF_MAP_TYPE_LRU_HASH"

# 检查 BPF 原子操作
bpftool feature probe | grep "BPF_XCHG"

# 检查 BPF 迭代器
bpftool feature probe | grep "bpf_iter"

# 检查 BPF 链接类型
bpftool feature probe | grep "BPF_LINK_TYPE_NETKIT"

4.6 租户隔离场景的特殊评估项

对于多租户集群，升级前还需额外验证以下三项：

• CiliumNetworkPolicy CRD 版本：确认目标 Cilium 版本是否支持当前使用的策略字段（如 toFQDN、http 规则）。
• Hubble 数据保留策略：升级 Hubble 可能导致历史流日志丢失，需提前导出租户流量审计数据。
• ClusterMesh 跨集群策略：如果使用 ClusterMesh 实现跨集群租户隔离，升级前必须确保所有集群的 Cilium 版本一致。