Cilium / eBPF 数据面内核：从 Identity 到包路径

站内 Cilium 深度拆解 已讲清产品能力与 Identity 叙事；eBPF 内核实现 拆透 verifier/JIT/Map；Envoy / HAProxy 终章把「只要 L3/L4 与身份」指到 eBPF。中间仍缺一层：一次东西向包如何经 endpoint/identity 与 BPF map，kube-proxy 替代相对 iptables 差在哪，Hubble 字段对应哪一层，以及相对 Calico / sidecar / Ambient 何时不该上 Cilium。

本系列回答：Cilium eBPF 数据面里延迟与失败落在哪一层，何时内核路径的税不值得付。

写：

• Endpoint/Identity、BPF 挂载与关键 Map、东西向包路径。
• kube-proxy 替代、NetworkPolicy 编译、Hubble 信号、加密与 Mesh/ClusterMesh 边界。
• 观测排障、相对替代路径的选型。

不写：Helm 百科、verifier/JIT 重讲、完整 Istio/Ambient 重写、未实测延迟排行、Hubble UI 点击教程。对照单篇见 k8s-network/13；eBPF VM 见 ebpf/；用户态 L7 见 envoy/。

系列状态：01–16 已发布（2026-08-16）。 规划见 PLAN.md。无真实 Cilium 集群则不粘贴伪造 cilium status / Hubble flow 输出。

版本锚定：Cilium v1.20.0（docs.cilium.io/en/v1.20/；源码 tag v1.20.0）。嵌入 Envoy / Gateway API 随该发行说明；Tentacle 式第三方升版须显式标注。

适合谁看

• K8s 平台 / 网络工程师，要把「装了 Cilium」推进到「能归因」。
• 读过 Envoy / HAProxy 系列，需要 eBPF 排除树叶机制坐标的读者。
• 在 Cilium、Calico、sidecar mesh 之间做路径选型的架构师。

与已有系列的分工

读法：只要「Cilium 大概怎么替代 iptables」→ 13 足够；要「包卡在哪张 map、identity 漂移为何偶发拒绝」→ 本系列 01 → 02 → 05 → 06 → 07 → 13。

一、这个领域最值得关注的 5 个问题

1. 一次东西向包的失败落在哪一层？ → 第 1–5、7、13 篇。
2. Identity 相对 IP 策略消除了什么；标签变更窗口如何表现？ → 第 2、7、13 篇。
3. kube-proxy 替代后 ClusterIP/NodePort 走哪条 BPF 路径？ → 第 5–6 篇。
4. Hubble / metrics 字段对应哪一层；何时全绿仍丢包？ → 第 8、12–13 篇。
5. 何时选 Cilium，而非 Calico / sidecar / Ambient？ → 第 10、14–16 篇。

二、篇目依赖关系与推荐阅读路径

flowchart TD
  overview["01 Overview"] --> id["02 Endpoint Identity"]
  id --> attach["03 BPF Attach"]
  attach --> maps["04 BPF Maps"]
  maps --> path["05 East West Path"]
  path --> kpr["06 Kube Proxy Replace"]
  id --> policy["07 Policy Compile"]
  path --> policy
  policy --> hubble["08 Hubble"]
  path --> enc["09 Encryption"]
  kpr --> mesh["10 L7 Mesh Boundary"]
  id --> cm["11 ClusterMesh"]
  hubble --> obs["12 Observability"]
  obs --> trouble["13 Troubleshoot"]
  trouble --> vs["14 vs Alternatives"]
  mesh --> gw["15 Gateway Boundary"]
  vs --> select["16 Selection"]
  gw --> select
  overview --> select

三、目录与每篇价值点

第一部分：模型与包路径（01–05）

1. 数据面全景
   • 相对 k8s-network/ebpf/代理系列的缺口；坐标系与 16 篇路线。
2. Endpoint 与 Identity
   • 数字身份、标签选择、生命周期。
3. BPF 挂载与程序生命周期
   • TC/XDP/cgroup 在 Cilium 中的角色；加载/替换。
4. 关键 BPF Map
   • policy、service、CT 等职责与失败表象。
5. 东西向包路径
   • Pod→Pod 停顿点；与 netfilter 旁路关系。

第二部分：Service、策略与扩展面（06–11）

6. kube-proxy 替代
   • ClusterIP/NodePort/外部流量；相对 iptables/IPVS。
7. 策略编译
   • NetworkPolicy / CiliumNetworkPolicy → BPF。
8. Hubble 信号
   • flow 字段语义；与 metrics 分工。
9. 透明加密
   • WireGuard / IPsec 路径税与失败模式。
10. L7 与 Mesh 边界
    • 可选 Envoy；相对 sidecar / Ambient。
11. ClusterMesh
    • 多集群身份与服务发现边界。

第三部分：观测、排障与收束（12–16）

12. 可观测与运维口径
    • cilium status、metrics、bpftool 边界。
13. 排障坐标系
    • 丢包、policy deny、identity 漂移、Service 黑洞。
14. 对照替代路径
    • Calico、kube-proxy、Envoy sidecar、Ambient。
15. Gateway / 南北向边界
    • Cilium Gateway 与东西向焦点的分工。
16. 选型收束与开放问题
    • 排除树；回收代理系列 eBPF 叶。

四、延伸阅读

• Cilium 深度拆解（k8s-network/13）
• eBPF 内核实现
• Envoy 选型收束
• HAProxy 选型收束
• Istio / 网格控制面
• WireGuard 深度系列
• 全部系列索引