cilium/cilium-runtime-2

Cilium 镜像文档

镜像概述与主要用途

Cilium是一款开源软件，用于为应用工作负载（如应用容器或进程）提供网络连接、负载均衡并透明地保障其安全性。它运行在OSI模型的第3/4层以提供传统网络和安全服务，同时支持第7层以保护现代应用协议（如HTTP、gRPC和Kafka）。Cilium已集成到Kubernetes、Mesos等常见编排框架中，其核心基于Linux内核技术BPF，支持动态插入BPF字节码到内核以实现安全、网络和可见性逻辑。

核心功能与特性

透明保护API

能够保护REST/HTTP、gRPC和Kafka等现代应用协议。传统防火墙工作在第3/4层，对特定端口上的协议要么完全信任要么完全阻止，而Cilium可基于应用协议请求进行过滤，例如：

• 允许所有方法为GET且路径为/public/.*的HTTP请求，拒绝其他请求
• 允许service1向Kafka主题topic1生产消息，service2从topic1消费消息，拒绝其他Kafka消息
• 要求所有REST调用中存在HTTP头X-Token: [0-9]+

基于身份的服务间通信安全

现代分布式应用依赖容器等技术实现部署敏捷性和按需扩展，导致短时间内启动大量容器。传统容器防火墙通过源IP和目的端口过滤工作负载，需要在集群中任何容器启动时操作所有服务器上的防火墙，限制了扩展性。Cilium为共享相同安全策略的应用容器组分配安全身份，该身份与容器发出的所有网络数据包关联，可在接收节点验证身份，身份管理通过键值存储执行。

外部服务访问安全

基于标签的安全是集群内部访问控制的首选工具。为保护与外部服务的进出访问，Cilium支持传统的基于CIDR的入口和出口安全策略，可限制应用容器与特定IP范围的访问。

简单网络

提供可跨多个集群的简单扁平第3层网络，连接所有应用容器。IP分配通过主机范围分配器简化，每个主机无需与其他主机协调即可分配IP。支持以下多节点网络模型：

• 覆盖网络（Overlay）：基于封装的虚拟网络，覆盖所有主机，目前内置支持VXLAN和Geneve，可启用Linux支持的所有封装格式。适用于基础设施和集成要求最低的场景，只需主机间IP连接。
• 原生路由（Native Routing）：使用Linux主机的常规路由表，要求网络能够路由应用容器的IP地址。适用于高级用户，需了解底层网络基础设施，如原生IPv6网络、云网络路由器或已运行路由守护进程的环境。

负载均衡

为应用容器间及外部服务的流量提供分布式负载均衡。负载均衡通过BPF使用高效哈希表实现，支持近乎无限扩展，若不在源主机执行负载均衡操作，还支持直接服务器返回（DSR）。

监控与故障排除

提供可见性和故障排除能力，包括：

• 带元数据的事件监控：丢包时不仅报告源和目的IP，还提供发送方和接收方的完整标签信息等
• 策略决策追踪：追踪数据包丢弃或请求拒绝的原因，支持基于运行中工作负载和任意标签定义的策略决策过程
• Prometheus指标导出：通过Prometheus导出关键指标，集成现有仪表板

集成

• 网络插件：CNI、libnetwork
• 容器运行时事件：containerd
• Kubernetes：NetworkPolicy、Labels、Ingress、Service
• 日志：syslog、fluentd

使用场景与适用范围

• Kubernetes集群网络安全与策略实施
• 微服务架构中服务间通信保护
• 多集群应用网络连接与负载均衡
• 需要L7协议（HTTP、gRPC、Kafka）细粒度控制的场景
• 对网络性能和扩展性有高要求的容器化环境

使用方法与配置说明

前提条件

• Linux内核版本4.8.0或更高（推荐4.9.x及以上）
• 支持BPF的内核配置
• Kubernetes、Mesos等编排框架（若使用）

安装与部署

Cilium通常作为Kubernetes网络插件部署，推荐通过Helm或官方YAML清单安装：

使用Helm安装（Kubernetes）

bash
helm repo add cilium https://helm.cilium.io/
helm install cilium cilium/cilium --version 1.14.0 --namespace kube-system

使用YAML清单安装（Kubernetes）

bash
kubectl apply -f https://raw.githubusercontent.com/cilium/cilium/v1.14.0/install/kubernetes/quick-install.yaml

配置说明

Cilium配置主要通过Kubernetes Custom Resource Definitions (CRDs) 或配置文件进行，关键配置包括：

• 网络模式（覆盖网络或原生路由）
• 安全策略（L3/4和L7规则）
• 负载均衡设置
• 监控与日志参数

详细配置可参考http://docs.cilium.io/en/latest/install/configuration/%E3%80%82

进一步阅读

• http://docs.cilium.io/
• http://docs.cilium.io/en/latest/bpf/
• https://kubernetes.io/docs/tasks/administer-cluster/cilium-network-policy/

社区与支持

• 每周线上会议：周一9:00 am PT（太平洋时间），可通过https://zoom.us/j/328820525%E5%8A%A0%E5%85%A5
• Slack社区：https://cilium.herokuapp.com/

许可证

用户空间组件采用Apache License, Version 2.0许可，BPF代码模板采用General Public License, Version 2.0许可。