cilium/coccicheck

Cilium 镜像文档

镜像概述和主要用途

Cilium是一个基于eBPF的数据平面解决方案，提供网络、可观测性和安全功能。它实现了简单的扁平L3网络，支持跨多集群部署（原生路由或覆盖模式），具备L7协议感知能力，可基于身份安全模型在L3-L7层强制执行网络策略。Cilium还提供分布式负载均衡（可完全替代kube-proxy）、高级网络功能（如集成入口/出口网关、带宽管理、服务网格）以及深度网络和安全可见性与监控。

eBPF（扩展Berkeley Packet Filter）是Cilium的核心技术，支持在Linux内核的多个集成点（如网络IO、应用程序套接字、跟踪点）动态插入eBPF字节码，以实现安全、网络和可见性逻辑，具有高效和灵活的特点。

!Cilium功能概述

稳定版本

Cilium社区为最近三个主要版本维护次要稳定版本，更早的版本被视为EOL（生命周期结束）。升级到新主要版本请参考Cilium升级指南。

以下是当前维护的发布分支及其最新次要版本、镜像拉取标签和发布说明：

软件物料清单（SBOM）

从Cilium 1.13.0版本开始，所有镜像均包含软件物料清单（SBOM），采用SPDX格式生成。更多信息请参见Cilium SBOM。

核心功能和特性

透明保护API

能够保护现代应用协议（如REST/HTTP、gRPC和Kafka）。传统防火墙仅在L3和L4层运行，而Cilium可过滤单个应用协议请求，例如：

• 允许所有方法为GET且路径为/public/.*的HTTP请求，拒绝其他请求
• 允许service1向Kafka主题topic1生产消息，service2从topic1消费消息，拒绝其他Kafka消息
• 要求所有REST调用中存在HTTP头X-Token: [0-9]+

支持的协议和使用示例详见文档中的L7策略部分。

基于身份的服务间通信安全

现代分布式应用依赖容器等技术实现敏捷部署和按需扩展，导致短时间内启动大量容器。传统容器防火墙通过源IP和目标端口过滤工作负载，需要在集群中任何容器启动时更新所有服务器的防火墙规则，限制了扩展性。

Cilium为共享相同安全策略的应用容器组分配安全身份，该身份与应用容器发出的所有网络数据包关联，可在接收节点验证身份。安全身份管理通过键值存储执行。

外部服务访问控制

标签-based安全是集群内部访问控制的首选工具。为保护与外部服务的进出访问，Cilium支持基于CIDR的传统安全策略（入口和出口），可限制应用容器与特定IP范围的访问。

简单网络

连接所有应用容器的扁平L3网络，支持跨多集群部署。IP分配通过主机范围分配器实现，每个主机可独立分配IP，无需主机间协调。支持以下多节点网络模型：

• 覆盖网络（Overlay）：基于封装的虚拟网络，覆盖所有主机。目前内置支持VXLAN和Geneve，可启用Linux支持的所有封装格式。适用于基础设施和集成要求最低的场景，仅需主机间IP连接。

• 原生路由（Native Routing）：使用Linux主机的常规路由表。要求网络能够路由应用容器的IP地址。适用于高级用户，需了解底层网络基础设施，如原生IPv6网络、云网络路由器或已运行路由守护进程的环境。

负载均衡

Cilium为应用容器间流量和外部服务流量实现分布式负载均衡，可完全替代kube-proxy等组件。负载均衡通过eBPF中的高效哈希表实现，支持近乎无限的扩展。

• 南北向负载均衡：eBPF实现针对高性能优化，可附加到XDP（快速数据路径），支持直接服务器返回（DSR）和Maglev一致性哈希（当负载均衡不在源主机执行时）。

• 东西向负载均衡：在Linux内核套接字层（如TCP连接时）执行高效的服务到后端转换，避免低层每包NAT操作开销。

带宽管理

Cilium通过基于EDT（最早 departure 时间）的eBPF速率限制实现容器出口流量的带宽管理，相比传统方法（如HTB、TBF）可显著降低应用传输尾延迟，避免多队列NIC下的锁定问题。

监控和故障排除

提供超越传统工具（如tcpdump、ping）的高级故障排除能力：

• 带元数据的事件监控：丢包时不仅报告源和目的IP，还提供发送方和接收方的完整标签信息及其他元数据。

• Prometheus指标导出：关键指标通过Prometheus导出，可集成到现有仪表板。

• Hubble：专为Cilium设计的可观测性平台，提供服务依赖图、操作监控和告警，以及基于流日志的应用和安全可见性。

使用场景和适用范围

• 现代分布式应用和微服务架构的网络连接与安全
• Kubernetes集群网络解决方案，替代kube-proxy
• 需要L3-L7层网络策略的安全敏感环境
• 跨多集群部署的网络连接需求
• 高性能负载均衡和流量管理场景
• 需深度网络可见性和监控的生产环境

使用方法和配置说明

前提条件

Cilium需要Linux内核版本4.8.0或更高（推荐4.9.x及以上），支持eBPF功能。可通过uname -a检查内核版本。

安装步骤

Cilium主要通过Kubernetes部署，推荐使用Helm或官方安装脚本：

1. 使用Helm安装（默认配置）：

   bash
   helm repo add cilium https://helm.cilium.io/
   helm install cilium cilium/cilium --version 1.13.0 --namespace kube-system
   

2. 使用官方安装脚本：

   bash
   curl -fsSL https://raw.githubusercontent.com/cilium/cilium/v1.13.0/install/kubernetes/install.sh | bash
   

详细安装指南请参见安装Cilium。

核心配置参数

验证部署

部署完成后，可通过以下命令验证Cilium状态：

bash
kubectl -n kube-system get pods -l k8s-app=cilium

查看Cilium代理状态：

bash
cilium status

相关资源

• 为什么选择Cilium？
• 快速开始
• 架构和概念
• https://github.com/cilium/cilium/issues?utf8=%E2%9C%93&q=is%3Aissue+label%3Akind%2Fquestion+
• 贡献指南
• eBPF和XDP参考指南

社区支持

• Slack：加入Cilium Slack频道与开发者和用户交流
• 每周开发者会议：每周三8:00 am PT（11:00 am ET，5:00 pm CEST），通过Zoom链接参与
• eBPF & Cilium Office Hours直播：每周在***频道进行，主题建议可提交至https://github.com/isovalent/eCHO

许可证

• 用户空间组件：https://github.com/cilium/cilium/blob/master/LICENSE
• BPF代码模板：双许可 https://github.com/cilium/cilium/blob/master/bpf/LICENSE.GPL-2.0 和 https://github.com/cilium/cilium/blob/master/bpf/LICENSE.BSD-2-Clause%EF%BC%88%E5%8F%AF%E9%80%89%E6%8B%A9%E4%BB%BB%E4%B8%80%E8%AE%B8%E5%8F%AF%E8%AF%81%E6%9D%A1%E6%AC%BE%EF%BC%89