1. 课程导论：多集群架构下镜像拉取的挑战、Cilium在跨集群数据传输中的角色、课程目标与前置知识

1.1 多集群架构下的镜像拉取：为什么成为瓶颈？

在单集群 Kubernetes 环境中，Pod 启动时从镜像仓库拉取容器镜像是一个相对成熟的流程：kubelet 通过容器运行时（如 containerd）向镜像 Registry 发起 HTTP/HTTPS 请求，数据流经节点网络、负载均衡器或 CDN 直达仓库。然而，当架构演进为多集群（Multi-Cluster）时，镜像拉取面临全新的网络拓扑挑战：

• 跨集群网络隔离：集群间通常部署在不同的 VPC、子网或物理数据中心，默认路由不可达，镜像数据无法直接传输。
• 镜像仓库分布不均：中心化 Registry 部署在单一集群或地域，远端集群拉取镜像需穿越公网或专线，延迟高、带宽受限。
• 大规模并发拉取：多集群同时扩缩容时，镜像拉取请求集中爆发，容易打满跨集群链路带宽，引发 Pod 启动超时。
• 安全策略复杂：跨集群流量必须经过防火墙、NAT 网关或代理审计，镜像层数据（通常为 tar 归档）可能被中间设备拦截或篡改。

1.2 Cilium 在跨集群数据传输中的核心角色

Cilium 基于 eBPF（Extended Berkeley Packet Filter）技术，为 Kubernetes 提供高性能网络、安全策略与可观测性。在多集群镜像拉取场景中，Cilium 承担以下关键职责：

下图展示了 Cilium Cluster Mesh 在跨集群镜像拉取中的数据传输路径：

1.3 课程目标

本课程旨在帮助学员系统掌握在多集群环境下，使用 Cilium 排查镜像拉取数据传输故障的完整方法论。完成本课程后，学员将能够：

1. 理解多集群镜像拉取的网络路径：从 kubelet 发起请求到 Registry 返回镜像层数据的完整数据流，包括 DNS 解析、TCP 连接、TLS 握手、HTTP 请求/响应。
2. 掌握 Cilium 关键故障排查工具：熟练使用 cilium connectivity test、cilium monitor、hubble observe、cilium-dbg 等命令定位网络问题。
3. 识别并解决典型故障场景：包括跨集群路由不可达、MTU 分片问题、DNS 解析失败、TLS 证书验证错误、带宽限速导致的拉取超时等。
4. 优化跨集群镜像拉取性能：通过 Cilium 的带宽管理、连接跟踪调优、镜像缓存策略等手段，将拉取延迟降低 50% 以上。

1.4 前置知识要求

为获得最佳学习效果，建议学员具备以下基础：

1.5 课程内容概览

本课程共 30 章，按以下模块组织：

• 基础篇（第 1-5 章）：多集群镜像拉取架构、Cilium 网络模型、Cluster Mesh 原理、镜像拉取数据流详解。
• 工具篇（第 6-10 章）：Hubble 可观测性、cilium-dbg 调试命令、网络抓包与 eBPF 追踪、性能基准测试方法。
• 故障排查篇（第 11-25 章）：15 个真实故障场景的根因分析与修复步骤，涵盖 DNS、TCP、TLS、路由、带宽、安全策略等维度。
• 优化与实战篇（第 26-30 章）：镜像缓存加速、带宽 QoS 策略、多集群 Registry 架构设计、混沌工程演练、总结与最佳实践。

下图展示了课程的知识体系结构：

1.6 故障排查方法论概述

本课程采用四步排查法贯穿所有故障场景：

1. 现象确认：通过 kubectl describe pod、crictl pull 等命令确认镜像拉取失败的具体错误信息。
2. 数据流追踪：使用 Hubble 流日志和 cilium monitor 追踪数据包在跨集群路径上的每一跳。
3. 根因定位：结合 TCP 抓包、eBPF 跟踪点、Cilium 端点状态，定位故障点（路由、策略、带宽、证书等）。
4. 修复与验证：应用修复方案后，通过 cilium connectivity test 和镜像拉取基准测试验证恢复效果。