cilium/operator-dev

Cilium镜像文档

镜像概述和主要用途

Cilium是开源软件，用于提供和透明地保护应用工作负载（如容器或进程）之间的网络连接和负载均衡。它在L3/4层提供传统网络和安全服务，在L7层保护现代应用协议（如HTTP、gRPC和Kafka），并集成到Kubernetes和Mesos等常见编排框架中。Cilium基于Linux内核的BPF技术，支持在网络IO、应用套接字等集成点动态插入BPF字节码，实现高效灵活的安全、网络和可见性逻辑。

稳定版本

Cilium社区为最近三个主要版本维护次要稳定版本，更早的版本视为EOL。以下是当前维护的发布分支及其最新次要版本、镜像拉取标签和发布说明：

核心功能和特性

透明保护API

能够保护REST/HTTP、gRPC和Kafka等现代应用协议。传统防火墙在L3/4层工作，而Cilium可基于应用协议请求进行过滤，例如：

• 允许所有方法为GET且路径为/public/.*的HTTP请求，拒绝其他请求。
• 允许service1向Kafka主题topic1生产消息，service2从topic1消费消息，拒绝其他Kafka消息。
• 要求所有REST调用中存在HTTP头X-Token: [0-9]+。

基于身份的服务间通信安全

现代分布式应用依赖容器等技术实现敏捷部署和按需扩展，导致大量容器短时间启动。Cilium为共享相同安全策略的应用容器组分配安全身份，该身份与容器发出的所有网络数据包关联，在接收节点验证身份，避免传统基于IP的防火墙在容器启动时需全网更新规则的问题。

外部服务访问控制

支持基于传统CIDR的入口和出口安全策略，用于保护与外部服务的访问，限制应用容器与特定IP范围的通信。

简单网络

提供跨多集群的简单扁平L3网络，通过主机范围分配器简化IP分配（各主机可独立分配IP，无需协调）。支持以下多节点网络模型：

• 覆盖网络（Overlay）：基于封装的虚拟网络，支持VXLAN和Geneve等格式，适用于几乎所有具有主机间IP连接的网络基础设施。
• 原生路由（Native Routing）：使用Linux主机的常规路由表，要求网络能够路由应用容器的IP地址，适用于原生IPv6网络、云网络路由器或已运行路由守护进程的环境。

负载均衡

为应用容器间及外部服务的流量提供分布式负载均衡，基于BPF高效哈希表实现，支持几乎无限扩展，若负载均衡不在源主机执行，还支持直接服务器返回（DSR）。注：负载均衡需要启用连接跟踪，默认已启用。

监控和故障排除

提供增强的可见性和故障排除工具，包括：

• 带元数据的事件监控：丢包时不仅报告源/目的IP，还提供发送者和接收者的完整标签信息等。
• 策略决策跟踪：分析数据包被丢弃或请求被拒绝的原因，支持基于运行中工作负载和任意标签定义的策略跟踪。
• Prometheus指标导出：关键指标通过Prometheus导出，集成现有仪表板。
• Hubble：专为Cilium设计的可观测性平台，提供服务依赖图、操作监控和告警、基于流日志的应用和安全可见性。

集成

• 网络插件：CNI、libnetwork
• 容器运行时事件：containerd
• Kubernetes：NetworkPolicy、Labels、Ingress、Service

使用场景和适用范围

• 容器化应用的网络连接与安全防护
• Kubernetes集群中的网络策略实施
• 需要L7协议（HTTP、gRPC、Kafka等）细粒度安全控制的环境
• 多节点容器集群的网络管理
• 对网络性能和可观测性有高要求的分布式系统

使用方法和配置说明

前提条件

• Linux内核版本4.8.0或更高（推荐4.9.x及以上），支持BPF功能
• 检查内核版本：uname -a

镜像拉取

使用稳定版本标签拉取镜像：

bash
docker pull docker.xuanyuan.run/cilium/cilium:v1.7.4

部署示例

Cilium通常在Kubernetes环境中部署，详细安装步骤参见http://docs.cilium.io/en/stable/gettingstarted/#installation。以下是基本部署流程概述：

1. 准备满足内核要求的Kubernetes集群
2. 使用helm安装Cilium：

bash
helm repo add cilium https://helm.cilium.io/
helm install cilium cilium/cilium --version 1.7.4 --namespace kube-system

BPF和XDP技术简介

Berkeley Packet Filter (BPF)是Linux内核字节码解释器，支持在网络IO、系统调用等内核钩子点运行程序，通过LLVM编译C代码为BPF字节码，内核验证器确保安全性，JIT编译器提升执行效率。Cilium利用BPF实现核心数据路径的过滤、修改、监控和重定向。

XDP（eXpress Data Path）允许在网络驱动程序中运行BPF程序，直接访问数据包的DMA缓冲区，是软件栈中最早的可编程高性能数据包处理点。

更多信息参见http://docs.cilium.io/en/stable/bpf/。

社区

Slack

加入Cilium https://cilium.herokuapp.com/，与开发者和用户交流。

特别兴趣小组（SIG）

参见https://docs.cilium.io/en/stable/community/#special-interest-groups了解所有SIG及其会议时间。

每周开发者会议

• 每周一8:00 am PT（11:00 am ET，5:00 pm CEST）
• https://zoom.us/j/596609673

许可证

• 用户空间组件：Apache License, Version 2.0
• BPF代码模板：General Public License, Version 2.0