1. 课程导论：Cilium版本漂移的背景、日志平台网络策略适配的挑战与课程目标
1.1 Cilium版本漂移的背景
在云原生基础设施中，Cilium作为基于eBPF的高性能网络与安全组件，其版本迭代速度极快。企业生产环境常因安全补丁、功能升级或集群迁移，面临Cilium版本漂移问题——即同一集群内或跨集群的Cilium Agent与Operator版本不一致，或从旧版（如v1.11）直接跳升至新版（如v1.15）。
版本漂移对网络策略（NetworkPolicy）的影响尤为显著，因为Cilium在不同版本间对策略引擎、标识符（Identity）分配、FQDN规则以及L7协议解析的底层实现存在差异。日志平台作为典型的多服务、多命名空间、高流量系统，其网络策略往往依赖Cilium的精细化控制，版本漂移可能导致策略失效、流量中断或安全漏洞。
常见漂移场景：
- 集群升级时Cilium DaemonSet版本与Operator版本不匹配
- 多集群联邦中不同集群运行不同Cilium版本
- Helm Chart回滚导致策略CRD（Custom Resource Definition）版本冲突
1.2 日志平台网络策略适配的挑战
日志平台通常由采集端（Fluentd/Fluent Bit）、缓冲层（Kafka/Redis）、存储端（Elasticsearch/Loki）及可视化层（Kibana/Grafana）组成，服务间依赖复杂。Cilium版本漂移后，网络策略适配面临以下核心挑战：
| 挑战维度 | 具体问题 | 影响等级 |
|---|---|---|
| 策略语法变更 | Cilium v1.13→v1.15 中 toFQDNs 规则字段名调整，旧策略无法通过校验 |
高 |
| Identity 分配变化 | 新版本对 k8s:io.kubernetes.pod.namespace 标签的哈希算法改变，导致跨命名空间策略失效 |
高 |
| L7 协议解析差异 | 日志平台使用 HTTP/gRPC 协议，新版 Cilium 对 http.path 匹配规则更严格 |
中 |
| CRD 版本兼容性 | CiliumNetworkPolicy CRD 的 apiVersion 从 v2 升级到 v2alpha1，旧资源无法被新 Operator 识别 |
高 |
| eBPF 程序热更新 | 版本漂移期间 eBPF Map 格式不兼容，导致策略规则加载失败 | 中 |
关键风险： 日志平台通常承载业务审计、故障排查等关键数据流。策略适配不当可能导致采集端无法向存储端发送数据，造成日志丢失；或错误放行非预期流量，引入安全风险。
1.3 课程目标与学习路径
本课程旨在帮助学员掌握Cilium版本漂移场景下日志平台网络策略的适配方法论与实操技能。通过本课程，学员将能够：
- 诊断策略失效根因： 利用
cilium policy trace、Hubble 监控及日志平台自身指标，快速定位版本漂移导致的策略问题。 - 制定策略迁移方案： 掌握从旧版CiliumNetworkPolicy到新版策略的语法转换、CRD版本升级及Identity映射规则。
- 实施灰度适配： 在不停机前提下，通过策略分阶段部署、金丝雀发布等手段，最小化对日志平台的影响。
- 建立持续合规机制： 集成策略审计、版本基线检查及自动化测试，防止未来版本漂移再次引发问题。
1.4 适用人群与前置知识
| 角色 | 前置要求 | 课程收益 |
|---|---|---|
| 云原生安全工程师 | 熟悉Kubernetes NetworkPolicy、Cilium基本概念 | 掌握版本漂移场景下的策略安全审计与加固方法 |
| 日志平台运维/架构师 | 了解Fluentd/Elasticsearch/Loki等组件网络拓扑 | 学会在Cilium变更时保障日志采集链路不中断 |
| 平台/SRE工程师 | 具备Helm、Kustomize等部署工具使用经验 | 获得可落地的策略迁移与灰度发布方案 |
课程实践环境： 本课程所有演示基于 Kubernetes v1.28 + Cilium v1.13/v1.15 双版本集群，日志平台采用 Fluentd → Kafka → Elasticsearch → Kibana 经典架构。学员可复用提供的 Helm Chart 与策略模板进行实验。