1. 课程全景与目标

云原生网络正在经历从“连通性”到“可观测性+安全性+运维自动化”的范式转移。Cilium 作为基于 eBPF 技术的云原生网络、安全与可观测性平台，已逐步成为 Kubernetes 集群网络的事实标准。本课程聚焦于 Cilium 在蓝绿发布场景下的网络运维挑战，并通过事件流还原技术构建完整的故障时间线，帮助运维人员从“被动救火”转向“主动防御”。

1.1 Cilium 在云原生网络中的核心地位

Cilium 通过 eBPF 在内核层面动态注入网络、安全与可观测性逻辑，无需修改应用代码或重启服务。其核心能力覆盖以下维度：

1.2 蓝绿发布对网络运维的挑战

蓝绿发布（Blue-Green Deployment）要求同时运行两套完整环境，通过流量切换实现零停机更新。但在实际运维中，网络层面常出现以下“暗礁”：

• 策略漂移： 蓝环境策略未随流量迁移同步更新，导致绿环境 Pod 被错误阻断。
• DNS 缓存污染： 旧 Service 端点缓存未刷新，流量仍发往已下线的蓝环境。
• 连接耗尽： 长连接未优雅关闭，绿环境 Pod 启动后无法接收新连接。
• 身份冲突： 蓝绿环境共享同一 Identity 范围，导致策略匹配混乱。
• 可观测性断层： 流量切换瞬间，Hubble 事件流出现 3-5 秒空白窗口。

1.3 事件流还原技术：构建故障时间线

本课程的核心方法论是事件流还原（Event Stream Reconstruction）——通过 Cilium 的 Hubble 事件流、Kubernetes API 审计日志、eBPF 跟踪点三者交叉关联，将蓝绿发布过程中的网络状态变化还原为一条精确的故障时间线。

事件流还原的三大支柱：

1. Hubble 流式事件： 记录每个网络流的 L3/L4/L7 元数据，包括源/目的 Identity、TCP 状态、HTTP 方法、响应码。
2. Kubernetes 审计日志： 记录 Service、Endpoint、NetworkPolicy 的变更事件，精确到毫秒级时间戳。
3. eBPF 内核跟踪点： 捕获 connect()、accept()、close() 等系统调用，识别连接生命周期异常。

通过将这三类事件按时间轴对齐，运维人员可以回答以下关键问题：

• 流量切换前 5 秒，哪个 NetworkPolicy 被删除？
• 故障发生时，绿环境 Pod 的 Identity 是否已就绪？
• 连接耗尽期间，有多少 TCP 半连接处于 SYN_RECV 状态？
• DNS 缓存失效后，第一个失败请求的完整路径是什么？

1.4 课程结构概览

本课程共 30 章，分为四个阶段：