2. Cilium 架构基础：数据平面与控制平面核心组件解析

Cilium 的架构清晰地划分为数据平面和控制平面两个部分。数据平面负责处理实际的数据包转发、负载均衡和网络策略执行；控制平面则负责管理数据平面的状态、与 Kubernetes API Server 交互以及提供可观测性数据。理解这两个平面的核心组件及其协作方式，是进行性能调优的前提。

2.1 数据平面：eBPF 与 XDP 的深度集成

Cilium 的数据平面完全构建在 Linux 内核的 eBPF（extended Berkeley Packet Filter）技术之上。它不再依赖传统的 iptables 或 ipvs，而是通过在内核中动态注入 eBPF 程序来实现网络功能。XDP（eXpress Data Path）则提供了更早的数据包处理入口，位于网卡驱动层之后、内核协议栈之前。

2.2 控制平面：Agent 与 Operator 的分工协作

Cilium 的控制平面由两个核心组件构成：Cilium Agent 和 Cilium Operator。它们各自承担不同的职责，共同维护集群的网络状态。

2.3 核心组件详细解析

2.3.1 Cilium Agent

Agent 是运行在每个 Kubernetes 节点上的守护进程，是控制平面与数据平面之间的桥梁。它负责以下关键任务：

• eBPF 程序生命周期管理： 编译、加载、更新和卸载 eBPF 程序（如网络策略、负载均衡、观测性程序）。
• 端点管理： 跟踪本地所有 Pod 的网络端点信息，并将其写入 eBPF Map。
• 策略执行： 将 Kubernetes NetworkPolicy 或 CiliumNetworkPolicy 翻译为 eBPF 程序中的过滤规则。
• 服务负载均衡： 管理 ClusterIP、NodePort、ExternalIP 等服务的 eBPF 实现。
• 可观测性数据采集： 通过 eBPF 收集网络流量指标（如丢包、延迟、吞吐量），并通过 Prometheus 暴露。

2.3.2 Cilium Operator

Operator 是一个集群级组件，通常以 Deployment 形式部署 1-2 个副本。它不直接参与数据包处理，但负责以下关键集群协调任务：

• IPAM（IP 地址管理）： 为每个节点分配 PodCIDR 范围，支持 CRD-backed、Kuberenetes HostScope、Azure、AWS 等多种 IPAM 模式。
• CNI 协调： 处理 CNI 插件的安装、配置和健康检查。
• CRD 管理： 维护 Cilium 相关的自定义资源（如 CiliumNetworkPolicy、CiliumEndpoint、CiliumNode）的状态。
• 节点间同步： 在节点加入或离开集群时，更新全局网络拓扑信息。

2.4 数据平面与控制平面的交互流程

以下是一个典型的数据包处理流程，展示了控制平面如何影响数据平面：

1. Pod 创建事件： Kubernetes API Server 创建 Pod，Cilium Agent 通过 Informer 监听到该事件。
2. IP 分配： Agent 向 Operator 请求 IP 地址（或从本地缓存分配），Operator 确保 IP 不冲突。
3. eBPF 程序更新： Agent 将新 Pod 的端点信息写入 eBPF Map，并更新网络策略相关的 eBPF 程序。
4. 数据包到达： 当数据包到达节点网卡时，XDP 钩子首先处理，然后传递给 eBPF 程序。
5. 策略匹配与转发： eBPF 程序查询 eBPF Map 中的端点信息和策略规则，决定允许、拒绝或重定向数据包。
6. 可观测性数据： eBPF 程序将流量指标写入 Perf Event Buffer 或 eBPF Map，Agent 定期读取并暴露给 Prometheus。

2.5 关键性能指标与监控