【Cilium / eBPF】选型收束：排除树、开放问题与系列边界关闭
用机制排除树收束 Cilium eBPF 相对 Calico、kube-proxy、Envoy sidecar、Ambient 的选型；回收 Envoy/HAProxy 终章的 eBPF 叶；列出系列级开放问题；以 ADR 友好语言关闭数据面续作边界。
ambient 标签归档
共 8 篇文章 · 返回首页
Istio / 网格控制面内核：从 CRD 到 xDS
补齐 Envoy 数据面 xDS 消费侧与 Mesh 选型叙事之间的控制面内核：istiod 推送图、CRD/HTTPRoute 翻译、Ambient 多客户端、NACK/warming 责任与排障对齐。
【Cilium / eBPF】L7 与 Mesh 边界：节点 Envoy、sidecar 与 Ambient
划清 Cilium v1.20 可选 L7 路径：BPF 何时重定向节点 Envoy、与 sidecar / Istio Ambient 的职责边界及失败面；不重写 Ambient 数据面，不把 Cilium 写成全能网格。
【Cilium / eBPF】对照替代路径：Calico、kube-proxy、Envoy sidecar 与 Ambient
从机制排除而非跑分出发，对照 Cilium eBPF 数据面与 Calico、kube-proxy iptables/IPVS、Envoy sidecar、Istio Ambient；链接 k8s-network/12–13、envoy/16、haproxy/14，不做延迟排行榜。
【Istio 控制面】控制面全景：从 CRD 到 xDS 的翻译与推送内核
定位 Istio 控制面内核相对 Envoy 消费侧、Service Mesh 税文与 Gateway API 资源模型的缺口；给出五条坐标系、16 篇地图与本系列明确不写的范围，钉住 istiod 1.30.3 为主线。
【Istio 控制面】代理身份与订阅：sidecar、ztunnel、waypoint、Gateway 谁在订阅什么
拆解 istiod 如何从节点 ID 与 mTLS/JWT 得到一个 model.Proxy 身份，以及 NodeType 如何决定该连接会订阅哪一套 xDS 资源类型：sidecar/Router 走标准 LDS/RDS/CDS/EDS，ztunnel 走自定义 Address/Authorization，waypoint 是 Envoy 但推送触发条件不同。
【Istio 控制面】Ambient：ztunnel 与 waypoint 作为两类 xDS 客户端
从 istiod 的 NodeType 与推送过滤代码出发，说明 ztunnel（Rust L4、HBONE、per-node）与 waypoint（Envoy L7、per-namespace）是两类订阅完全不同的 xDS 客户端，并指出 ambient 推送优化仍是源码里明写的 TODO。
【操作系统百科】POSIX capabilities
为什么 setuid root 早该被 capabilities 取代？cap sets（permitted/effective/inheritable/bounding/ambient）、file caps、容器内 capabilities——本文讲 Linux 的细粒度权限模型。