3. Cilium 网络策略模型：基于身份的安全策略、L3/L4/L7策略、策略执行机制

Cilium 的网络策略模型彻底改变了传统基于 IP 地址的网络安全范式。它利用 eBPF 的强大能力，将安全决策从“IP 地址”提升到“身份”层面，并支持从网络层到应用层的精细化控制。理解这一模型是进行云原生成本优化和容量规划的基础——精确的策略可以减少不必要的网络开销，提升资源利用率。

3.1 基于身份的安全策略（Identity-Based Security）

传统 Kubernetes NetworkPolicy 依赖 Pod 的 IP 地址和标签选择器。Cilium 则引入了 安全身份（Security Identity） 的概念，将一组具有相同安全属性的端点（Pod、节点、外部服务）抽象为一个身份。

身份分配机制如下：

• 基于标签派生： Cilium 根据 Pod 的 Kubernetes 标签（如 app=frontend）自动计算并分配一个 24 位的安全身份标识。
• 全局一致性： 在同一个 Cilium 集群中，具有相同标签集的 Pod 会被分配相同的身份，无论它们运行在哪个节点上。
• 身份到端点的映射： Cilium Agent 通过 eBPF Map 维护本地身份与端点列表的映射关系，实现高效的策略查找。

3.2 L3/L4 网络策略

Cilium 的 L3/L4 策略提供了传统网络层和传输层的访问控制，但以身份为基础进行表达。它定义了哪些身份可以访问哪些身份，以及允许的协议和端口。

以下是一个典型的 L3/L4 策略示例，允许带有 app=frontend 身份的 Pod 访问带有 app=backend 身份的 Pod 的 8080 TCP 端口：

apiVersion: "cilium.io/v2"
kind: CiliumNetworkPolicy
metadata:
  name: "l3-l4-allow-frontend-to-backend"
spec:
  endpointSelector:
    matchLabels:
      app: backend
  ingress:
  - fromEndpoints:
    - matchLabels:
        app: frontend
    toPorts:
    - ports:
      - port: "8080"
        protocol: TCP

L3/L4 策略的关键特性：

3.3 L7 应用层策略

L7 策略将安全控制延伸到应用层，允许基于 HTTP 方法、路径、头部，以及 Kafka、gRPC 等协议字段进行访问控制。这通过 Cilium 的代理（Envoy）或原生 eBPF 解析实现。

以下是一个 L7 HTTP 策略示例，仅允许 GET /api/v1/items 请求：

apiVersion: "cilium.io/v2"
kind: CiliumNetworkPolicy
metadata:
  name: "l7-http-rule"
spec:
  endpointSelector:
    matchLabels:
      app: service-a
  ingress:
  - fromEndpoints:
    - matchLabels:
        app: service-b
    toPorts:
    - ports:
      - port: "8080"
        protocol: TCP
      rules:
        http:
        - method: "GET"
          path: "/api/v1/items"

L3/L4 与 L7 策略对比：

3.4 策略执行机制

Cilium 的策略执行是一个高效、分层的过程，完全基于 eBPF 在内核中完成，无需修改应用程序代码。

执行流程详解：

1. 策略定义与分发： 用户通过 kubectl 创建 CiliumNetworkPolicy CRD 资源。
2. Operator 处理： Cilium Operator 监听 API Server，将策略转换为内部表示，并计算涉及的安全身份。
3. 身份同步： Operator 将策略和身份信息通过 Key-Value 存储（etcd 或 KVStore）分发给所有节点的 Cilium Agent。
4. BPF 编译与加载： 每个节点的 Cilium Agent 将策略编译为高效的 eBPF 字节码，并通过 tc（Traffic Control）或 XDP 挂载到网络接口上。
5. 内核态执行： 当数据包到达网络接口时，eBPF 程序在内核态直接执行策略匹配，决定允许、拒绝或重定向到代理（用于 L7 策略）。