1. 课程导论：集群升级背景、Cilium在云原生网络中的核心地位、镜像拉取数据传输的挑战与优化目标

1.1 集群升级背景：为什么升级成为常态性风险操作

在云原生基础设施的运维生命周期中，Kubernetes 集群升级 是最频繁、影响面最广的变更操作之一。无论是控制面组件（kube-apiserver、etcd、kube-controller-manager）的版本更新，还是节点操作系统的安全补丁，都要求集群在有限时间内完成滚动升级。然而，升级过程中最容易被忽视的瓶颈并非 Pod 调度或 API 兼容性，而是 镜像拉取的数据传输效率。

• 节点镜像缓存失效：新节点加入集群或节点重建后，本地镜像缓存为空，需要从远端仓库拉取全部业务镜像。
• 大规模并发拉取：升级窗口内，成百上千个节点同时拉取镜像，导致镜像仓库带宽被打满，拉取时间从秒级退化到分钟级。
• 网络策略干扰：Cilium 的 egress 策略、DNS 策略、TLS 拦截策略若未针对镜像拉取流量做优化，会引入额外的延迟和连接失败。

1.2 Cilium在云原生网络中的核心地位

Cilium 基于 eBPF（extended Berkeley Packet Filter）技术，在 Kubernetes 网络栈中扮演着 CNI 插件、网络策略引擎、可观测性探针 三重角色。相比传统的 iptables 或 IPVS 方案，Cilium 具备以下不可替代的优势：

1.3 镜像拉取数据传输的挑战与优化目标

在 Cilium 网络策略环境下，镜像拉取的数据传输面临以下 四大核心挑战：

1. 策略匹配路径过长：每个镜像拉取请求需经过 eBPF 的 L3/L4 策略检查、DNS 策略解析、L7 策略匹配（若启用），策略链越长，延迟越高。
2. 连接跟踪表（Conntrack）压力：大规模并发拉取时，Cilium 的 eBPF 连接跟踪表条目数激增，超过默认上限（通常 64K）后导致新连接被丢弃或回退到用户态处理。
3. 加密隧道吞吐不足：若集群启用了 WireGuard 或 IPsec 节点间加密，镜像层数据（通常为 tar 归档）的加密/解密会消耗大量 CPU，降低传输速率。
4. 镜像仓库域名解析延迟：Cilium 的 DNS 策略若未做缓存或使用透明代理，每次拉取都触发 DNS 查询，增加 50~200ms 的额外延迟。

针对上述挑战，本课程设定的 优化目标 如下：

1.4 课程学习路径与预期收益

本课程共 30 章，从 Cilium 网络策略基础 出发，逐步深入到 eBPF 数据路径调优、连接跟踪参数优化、加密隧道性能调优，最后通过 生产级升级演练 验证优化效果。完成本课程后，你将能够：

• 独立诊断 Cilium 策略对镜像拉取流量的影响，并给出针对性优化方案。
• 调整 Cilium 的 eBPF map 大小、策略匹配顺序、加密卸载策略，使镜像拉取时间缩短 50% 以上。
• 在集群升级前通过 Hubble 监控和策略模拟工具预判风险，避免升级中断。