Istio安全与mTLS治理工程 - 第1节
1. Cilium与eBPF基础
Cilium 是一个基于 eBPF 技术的开源项目，旨在为云原生环境（尤其是 Kubernetes）提供高性能、高可观测性的网络、安全与可观测性能力。它由 Isovalent 公司（2021 年被 Cisco 收购）于 2016 年创建，目前是 CNCF 毕业项目，也是 Kubernetes 网络生态中最活跃的 CNI 插件之一。
1.1.1 为什么需要 Cilium？
传统 Kubernetes 网络方案（如 Flannel、Calico iptables 模式）依赖 iptables/ipvs 进行数据平面转发与策略控制，面临以下瓶颈：
| 维度 | 传统方案（iptables 模式） | Cilium（eBPF 模式） |
|---|---|---|
| 数据平面性能 | 规则链线性遍历，大规模 Service 时延迟抖动明显 | eBPF 哈希表 + 尾调用，O(1) 查找，延迟稳定 |
| 网络策略粒度 | 仅支持 L3/L4（IP + 端口） | L3/L4/L7（HTTP/gRPC/Kafka 等协议感知） |
| 可观测性 | 依赖额外 sidecar 或 Prometheus exporter | 内核原生可观测，零 sidecar 开销 |
| 安全模型 | 基于 IP 的身份标识，Pod 重建后规则需同步 | 基于身份标识（Security Identity），Pod 重建自动继承 |
| 升级与扩展 | 需重启 kube-proxy 或修改 iptables 规则 | 热更新 eBPF 程序，无中断 |
关键洞察： Cilium 将网络、安全、可观测性从用户空间下沉到内核 eBPF 虚拟机中执行，消除了传统方案中数据平面与控制平面之间的性能鸿沟。
1.2 eBPF 技术原理
eBPF（extended Berkeley Packet Filter）是一种在内核虚拟机中安全运行沙箱化程序的技术。它允许用户在不修改内核源码或加载内核模块的情况下，动态注入自定义逻辑到内核事件路径中。
1.2.1 eBPF 核心架构
下图展示了 eBPF 程序从编写到加载、挂载、执行的全生命周期：
1.2.2 eBPF 在 Cilium 中的关键应用
- XDP（eXpress Data Path）： 在网络驱动层直接处理数据包，实现高性能转发与 DDoS 防护。
- TC（Traffic Control）： 在协议栈入口/出口挂载 eBPF 程序，实现 Pod 网络策略、负载均衡、带宽管理。
- Socket BPF： 在 socket 层拦截系统调用，实现服务网格 Sidecar 无感流量劫持。
- Tracepoint / Kprobe： 内核事件追踪，支撑 Hubble 可观测性数据采集。
性能对比： 在同等硬件条件下，Cilium eBPF 模式相比 iptables 模式，P99 延迟降低约 40%，CPU 开销减少约 30%，特别适合高频短连接场景（如微服务、API Gateway）。
1.3 Cilium 在 Kubernetes 中的定位
Cilium 在 Kubernetes 生态中扮演多重角色，覆盖网络、安全、可观测性三大领域：
1.3.1 核心定位矩阵
| 角色 | 对应组件 | 功能描述 |
|---|---|---|
| CNI 插件 | cilium-agent + cilium-cni | Pod 网络分配、IPAM、路由、网络策略执行 |
| 网络策略引擎 | CiliumNetworkPolicy / CiliumClusterwideNetworkPolicy | L3/L4/L7 网络策略，支持身份标识、FQDN、API 协议感知 |
| 负载均衡器 | cilium-agent（eBPF kube-proxy 替代） | Service 负载均衡、NodePort、ExternalIP、Maglev 一致性哈希 |
| 可观测性平台 | Hubble（Relay + UI + CLI） | 网络流日志、服务依赖图、DNS 监控、TCP 指标 |
| 服务网格数据面 | cilium-agent（Envoy 集成） | L7 流量管理、mTLS、熔断、重试（替代 Istio sidecar） |
| 安全加固 | CiliumIdentity + CiliumEndpoint | 基于身份的安全隔离、集群间网络策略、加密隧道（WireGuard） |
1.3.2 Cilium 在控制面架构中的位置
下图展示了 Cilium 在 Kubernetes 控制面与数据面之间的集成关系：
1.3.3 关键集成点
- API Server Watch： cilium-agent 通过 Informer 机制监听 Pod、Service、Endpoint、NetworkPolicy 等资源变化，无需额外适配。
- 身份标识管理： Cilium 为每个 Pod 分配 Security Identity（基于标签），存储在 eBPF Maps 中，策略匹配时直接查表，无需遍历 IP 规则。
- kube-proxy 替代： Cilium 通过 eBPF 实现 Service 负载均衡，支持 ClusterIP、NodePort、ExternalIP、LoadBalancer，完全兼容 Kubernetes Service 语义。
- 网络策略 CRD： CiliumNetworkPolicy 和 CiliumClusterwideNetworkPolicy 是 Kubernetes NetworkPolicy 的超集，支持 L7 协议匹配、FQDN 规则、CIDR 规则。
注意： 在生产环境中部署 Cilium 时，需要确保节点内核版本 ≥ 5.10（推荐 5.15+），并开启 BPF 相关内核参数（如
CONFIG_BPF、CONFIG_BPF_SYSCALL、CONFIG_DEBUG_INFO_BTF）。低版本内核可能导致 eBPF 功能降级或不可用。
1.4 本章小结
- Cilium 基于 eBPF 技术，解决了传统 iptables 方案在性能、粒度、可观测性上的瓶颈。
- eBPF 提供安全的内核编程能力，Cilium 利用 XDP、TC、Socket BPF 等 hook 点实现网络转发与策略执行。
- 在 Kubernetes 中，Cilium 同时承担 CNI、网络策略引擎、负载均衡器、可观测平台、服务网格数据面等多重角色。
- Cilium 控制面组件（cilium-operator、cilium-agent、Hubble）与 Kubernetes 控制面深度集成，通过 API Server Watch 实现实时策略同步。