cilium/docs-builder

Cilium Docker镜像文档

镜像概述和主要用途

Cilium是一款开源软件，用于提供和透明地保护应用工作负载（如应用容器或进程）之间的网络连接和负载均衡。它基于Linux内核eBPF技术，在第3/4层提供传统网络和安全服务，同时在第7层保护HTTP、gRPC和Kafka等现代应用协议，可集成到Kubernetes等编排框架中。

核心功能和特性

透明保护API

支持对REST/HTTP、gRPC和Kafka等现代应用协议进行细粒度安全控制，如：

• 允许特定HTTP方法和路径的请求（如GET /public/.*）
• 限制Kafka主题的生产/消费权限（如允许service1生产到topic1）
• 强制HTTP请求头要求（如必须包含X-Token: [0-9]+）

基于身份的服务通信安全

为共享安全策略的容器组分配安全身份，通过身份验证网络流量，替代传统IP/端口过滤，解决大规模容器环境下的防火墙动态更新问题。

外部服务访问控制

结合标签式集群内部访问控制与传统CIDR-based策略，限制容器与外部服务的 ingress/egress流量，支持特定IP范围的访问控制。

简单网络模型

提供跨集群的扁平L3网络，支持两种多节点网络模式：

• 覆盖网络：基于VXLAN/Geneve封装，适用于几乎所有网络基础设施
• 原生路由：使用Linux主机路由表，适用于IPv6网络、云路由器或已部署路由守护进程的环境

高效负载均衡

基于eBPF实现分布式负载均衡，可替代kube-proxy：

• 南北向：支持XDP附着、直接服务器返回(DSR)和Maglev一致性哈希
• 东西向：在Linux内核套接字层执行服务转换，避免低层NAT开销

带宽管理

通过eBPF-based EDT（最早 departure 时间）速率限制实现容器出口流量带宽管理，减少传输延迟，优于传统HTB/TBF方法。

监控与故障排除

提供增强的可观测性工具：

• 带元数据的事件监控（丢包时提供完整标签信息）
• Prometheus指标导出
• Hubble可观测性平台（服务依赖图、流日志分析等）

使用场景和适用范围

适用于以下场景：

• Kubernetes等容器编排环境的网络连接与安全策略实施
• 需要L7协议细粒度访问控制的云原生应用
• 大规模容器部署的服务间通信安全
• 要求高性能负载均衡和网络监控的生产环境
• 跨集群网络连接及外部服务安全访问控制

详细的使用方法和配置说明

稳定版本镜像

Cilium社区维护最近三个主要版本的稳定分支，以下是当前活跃版本：

拉取镜像

bash
docker pull ***-quay.xuanyuan.run/cilium/cilium:v1.11.6

Kubernetes部署示例

通过Helm部署（推荐）：

1. 添加Helm仓库：

bash
helm repo add cilium https://helm.cilium.io/

2. 安装Cilium：

bash
helm install cilium cilium/cilium --version 1.11.6 --namespace kube-system

核心配置参数

主要通过Helm values或ConfigMap配置，关键选项：

• networking.mode：网络模式（overlay/native，默认overlay）
• encryption.enabled：启用网络加密（true/false）
• securityContext.privileged：特权模式运行（默认true）
• hubble.enabled：启用Hubble可观测性（true/false）

详细配置见https://docs.cilium.io/en/stable/installation/helm/

系统要求

• Linux内核版本≥4.8.0（推荐≥4.19）
• 支持的发行版：CoreOS、Debian、Fedora、Ubuntu等
• 检查内核版本：

bash
uname -a

社区支持

• Slack：https://cilium.herokuapp.com/
• 每周会议：周三8:00 am PT（Zoom链接：https://zoom.us/j/596609673%EF%BC%89
• eCHO直播：每周***直播，讨论eBPF和Cilium技术（频道链接）

许可证

• 用户空间组件：https://github.com/cilium/cilium/blob/master/LICENSE
• BPF代码：双许可（https://github.com/cilium/cilium/blob/master/bpf/LICENSE.GPL-2.0%E5%92%8Chttps://github.com/cilium/cilium/blob/master/bpf/LICENSE.BSD-2-Clause%EF%BC%8C%E5%8F%AF%E9%80%89%E5%85%B6%E4%B8%80%EF%BC%89