3. Operator通信模型：Cilium Operator角色、与Agent通信方式、gRPC与Kubernetes API交互

Cilium Operator 是集群级别的控制面组件，负责管理全局状态与协调 Agent 行为。理解 Operator 的通信模型是 MTU 调优的前提——因为 Operator 与 Agent 之间的控制面流量路径、协议选择直接影响 MTU 配置策略。

3.1 Cilium Operator 的核心角色

Operator 并非数据面组件，它不参与实际网络包转发。其职责集中在以下方面：

3.2 Operator 与 Agent 的通信方式

Operator 与 Agent 之间采用 gRPC 双向流 与 Kubernetes API 轮询 两种互补机制。两种方式在 MTU 调优场景下有不同的关注点。

3.2.1 gRPC 双向流（主要控制通道）

Operator 通过 gRPC 服务端监听端口 9964，Agent 作为客户端主动建立长连接。通信内容包含：

• 身份变更推送：Operator 实时推送 Security Identity 更新，Agent 无需轮询。
• 策略增量下发：策略变更时 Operator 仅推送差异部分，减少带宽消耗。
• Endpoint 状态同步：Agent 上报本地 Endpoint 状态，Operator 维护全局视图。
• 健康探测：双向 Keepalive 检测连接健康度。

gRPC 消息体通常较小（几百字节到几 KB），但在大规模集群中，频繁的身份变更推送可能产生突发流量。MTU 调优时需注意：

• gRPC 底层使用 HTTP/2，HTTP/2 帧头压缩后仍可能超过单个 TCP 段大小。
• 若节点间网络 MTU 设置不当，gRPC 流可能触发 TCP 分段，增加延迟。
• 建议将控制面网络 MTU 设置为与数据面一致或更大，避免 gRPC 消息分片。

3.2.2 Kubernetes API 交互（辅助通道）

Operator 通过 Kubernetes API 监听 CRD 资源（如 CiliumEndpoint、CiliumNode、CiliumIdentity），Agent 也通过 API 读取自身配置。此通道主要用于：

• CRD 状态写入：Operator 将计算后的身份、策略写入 CRD。
• Agent 启动引导：Agent 启动时通过 API 读取 CiliumNode 对象获取 MTU 配置。
• 故障恢复：gRPC 连接中断时，Agent 回退到 API 轮询获取最新状态。

3.3 通信模型架构图

下图展示了 Operator 与 Agent 之间的双通道通信模型，以及各通道承载的关键数据流：

3.4 gRPC 与 Kubernetes API 交互的 MTU 敏感性对比

两种通信方式在 MTU 敏感性上存在显著差异，下表总结了关键对比维度：

3.5 通信流程中的 MTU 关键路径

从 Operator 配置下发到 Agent 生效，MTU 参数经历以下传递路径：

1. Operator 启动：读取 Helm 配置中的 mtu 参数，写入 CiliumNode CRD。
2. Agent 启动：通过 Kubernetes API 读取 CiliumNode 对象，获取 MTU 初始值。
3. Agent MTU 计算：结合隧道模式（Geneve/VXLAN）、加密（WireGuard/IPsec）、DSR 等因素，计算最终接口 MTU。
4. BPF 加载：MTU 值被编译进 BPF 程序，用于分片判断和路径 MTU 发现。
5. 运行时更新：Operator 通过 gRPC 推送 MTU 变更（如节点加入导致隧道端点变化），Agent 动态调整。

3.6 通信模型对 MTU 调优的实践启示

基于上述通信模型分析，MTU 调优时应遵循以下原则：

• 控制面网络独立调优：Operator 与 Agent 之间的 gRPC 流量应走独立的管理网络或控制面 VLAN，MTU 设置为 1500 或更大，避免与数据面网络共享 MTU 限制。
• CRD 大对象拆分：对于包含大量 Endpoint 的 CiliumEndpointSlice，Operator 应控制单个对象大小不超过管理网络 MTU 的 80%，防止 API Server 拒绝写入。
• gRPC Keepalive 与 MTU 联动：gRPC 的 Keepalive 探测包（通常 20 字节）不应被 MTU 限制丢弃。建议将控制面网络的 TCP MSS 设置为 MTU - 40（IPv4）或 MTU - 60（IPv6）。
• 监控关键指标：通过 Prometheus 监控 cilium_operator_grpc_errors_total 和 cilium_agent_api_requests_duration_seconds，当错误率上升时优先排查 MTU 配置。