Cilium 基础回顾：架构、eBPF 原理与网络策略核心概念

在深入版本漂移适配之前，必须重新夯实 Cilium 的三大基石：架构组件、eBPF 数据面原理以及CiliumNetworkPolicy (CNP) 的匹配模型。这三者直接决定了日志平台在版本升级后策略是否仍能按预期生效。

2.1 Cilium 整体架构

Cilium 采用控制面与数据面分离的架构。控制面负责策略下发与状态同步，数据面通过 eBPF 在内核中执行转发与过滤。

2.2 eBPF 原理与策略执行路径

eBPF 是 Cilium 的核心技术，允许在内核中安全运行沙箱程序。Cilium 利用 eBPF 在多个内核钩子点注入网络策略逻辑。

2.3 CiliumNetworkPolicy 核心概念

CiliumNetworkPolicy (CNP) 是 Kubernetes CRD，用于定义 Pod 级别的网络访问规则。其匹配模型基于 Endpoint Selector 和 Identity，而非传统 IP/CIDR。

2.3.1 策略模型对比

2.3.2 策略匹配流程

1. 身份分配： Cilium 为每个 Pod 分配基于安全标签的 64 位身份标识 (Security Identity)。
2. 策略编译： Agent 将 CNP 规则编译为 eBPF 指令，写入 BPF Map（cilium_policy / cilium_ipcache）。
3. 包处理： 数据面 eBPF 程序在 TC 钩子点提取源/目的身份，查询策略 Map 决定允许/丢弃。
4. 日志记录： 匹配策略的包可通过 Hubble 导出流日志，供日志平台消费。

2.4 策略语法核心字段

一个典型的 CNP 包含以下关键字段，版本漂移时这些字段的语义或默认值可能发生变化：

apiVersion: cilium.io/v2
kind: CiliumNetworkPolicy
metadata:
  name: log-platform-allow
spec:
  endpointSelector:
    matchLabels:
      app: log-collector
  ingress:
  - fromEndpoints:
    - matchLabels:
        app: fluentbit
    toPorts:
    - ports:
      - port: "24224"
        protocol: TCP
  egress:
  - toFQDNs:
    - matchName: "elasticsearch.prod.svc"
    toPorts:
    - ports:
      - port: "9200"
        protocol: TCP

2.5 关键版本差异速查表