【Istio 控制面】选型收束与开放问题：CRD、Gateway API 与 eBPF L4 的排除树
用机制排除树收束 Istio CRD 翻译、Gateway API/GAMMA 与 eBPF L4 的选型边界，回收系列阅读路径，并列出推送 SLO、Ambient 成熟度、GAMMA 双轨等开放问题；不做延迟排行榜。
cilium 标签归档
共 32 篇文章 · 返回首页
【Linkerd】对照替代路径：istio-xds、Ambient 与 Cilium L4
从控制面协议、数据面引擎与排障坐标对照 istiod/xDS、Istio Ambient 与 Cilium eBPF L4；外链 istio-xds 全书不重写，不做跨方案 CPU 排行榜。
【Linkerd】选型收束与开放问题：排除树与系列边界关闭
用机制排除树收束何时不该跑 Linkerd；回收 istio-xds/16 的 Linkerd 叶；列出 native sidecar 与 Job、GAPI 双轨、与 Falco/Tetragon 联合 runbook 等开放问题；以 ADR 友好语言关闭续作边界。
【Envoy Gateway】选型收束与开放问题：排除树、南北向叶关闭与系列边界
用机制排除树收束何时不该跑 Envoy Gateway；回收 Cilium 16 与 Tetragon 16 的南北向悬空指针；列出 status 当 SLO、IR 对账、remote infra、与 Cilium 四元组联合 runbook 等开放问题；关闭本系列续作边界。
【可观测性工程】网络可观测性：Cilium Hubble、Pixie、DeepFlow、Tetragon
从 L3/L4/L7 三层观测视角出发，讲 eBPF socket filter / tc / XDP 数据采集与 Cilium Hubble 流日志、Tetragon 安全可观测、Pixie 协议自动解析、DeepFlow 架构；展开 bpftrace + kfree_skb_reason 的内核丢包定位、TLS 解密、HTTP/2 解析与服务拓扑自动发现。
【Tetragon / eBPF】对照替代路径：Falco、auditd、Cilium CNP/Hubble 与 seccomp
从过滤发生在哪一层、能否 inline 阻断对照 Falco、auditd、Cilium CNP/Hubble 与 seccomp；以 Garfinkel NDSS 2003 与 Falco CVE-2022-26316 作为 TOCTOU 谱系，不做 CPU 或内存排行。
【Tetragon / eBPF】选型收束：排除树、开放问题与系列边界关闭
用机制排除树收束何时不该跑 Tetragon；回收 Cilium 16 的运行时安全指针；列出 TOCTOU 可接受边界、JSON 与 gRPC 完备性、以及 v1.7.0 之后的 nodeSelector 与 domain sharding；关闭本系列续作边界。
【Cilium / eBPF】Gateway API / 南北向边界：与本系列东西向焦点的分工
厘清 Cilium Gateway API 南北向入口与本系列东西向 eBPF 数据面的分工：能力边界、排障坐标分叉、加密与 KPR 组合风险；标明本系列刻意不写的 Gateway 全书内容。
【Cilium / eBPF】选型收束：排除树、开放问题与系列边界关闭
用机制排除树收束 Cilium eBPF 相对 Calico、kube-proxy、Envoy sidecar、Ambient 的选型；回收 Envoy/HAProxy 终章的 eBPF 叶；列出系列级开放问题；以 ADR 友好语言关闭数据面续作边界。
Cilium / eBPF 数据面内核：从 Identity 到包路径
补齐站内 Cilium 产品单篇与 eBPF 内核实现之上的数据面内核层：Endpoint/Identity、BPF 挂载与 Map、东西向包路径、kube-proxy 替代、策略编译、Hubble、加密与 Mesh/ClusterMesh 边界，并以排障与选型收束。
【Envoy 数据面】选型收束：机制排除树与系列开放问题
用机制排除树收束 Envoy 相对 Nginx/HAProxy、sidecar / 节点级 Envoy / eBPF 的选型；回顾阅读路径，并列出 xDS 规模、sidecar 税、Wasm 与 HTTP/3 等系列级开放问题。
【Envoy Gateway】对照替代路径：Cilium Gateway、Istio、Ingress 与其他实现
从翻译内核与排障坐标对照 Envoy Gateway v1.9.0 与 Cilium Gateway、Istio/GAMMA、Ingress 注解模型，以及 Contour / NGINX Gateway Fabric 实现叶；机制差表，不做延迟排行榜。
【Envoy Gateway】东西向接缝：把失败交回 Cilium 五轴而不污染南北向坐标
请求离开 Envoy Gateway 之后，用北段/南段证据包和两套排障口令对接 Cilium v1.20.0 的 CNI/KPR/加密/Gateway 四元组；本系列不重写 identity 与 map。
【Cilium / eBPF】数据面全景：五轴坐标系与 16 篇路线
相对 k8s-network/13、ebpf/ 与 Envoy/HAProxy 排除树，钉清 Cilium eBPF 数据面内核缺口；定义 Identity、BPF 挂载、Map 状态、包路径、策略与观测五条坐标系，给出 16 篇阅读路线。
【Cilium / eBPF】Endpoint 与 Identity：数字身份、标签选择与生命周期
钉清 Cilium Endpoint 与 Numeric Identity 的关系：安全相关标签如何导出集群范围数字身份、保留身份与 well-known 身份、标签变更时的短暂 deny/allow 窗口，以及相对 IP 策略消除了什么。
【Cilium / eBPF】BPF 挂载与程序生命周期：TC、XDP、cgroup 在路径上的角色
说明 Cilium v1.20 如何在 XDP、TC、cgroup socket 等 hook 上分工；对照 bpf_xdp/host/lxc/sock 源码入口与 Intro 中的数据面对象；交代加载/替换边界，不重写 verifier 算法。
【Cilium / eBPF】关键 BPF Map：policy、service、CT 的职责与失败表象
按 Cilium v1.20 Maps 文档钉清 policy、Service LB、CT、NAT、ipcache 等 map 的职责、默认容量与满表后果；说明 v3 policy map 语义变更，内核 map 实现外链 ebpf/ 系列。
【Cilium / eBPF】东西向包路径：Pod→Pod 停顿点与 netfilter 旁路
沿 Cilium v1.20 Life of a Packet 钉清同节点与跨节点东西向停顿点：Endpoint Policy、Service、socket 加速、加密与 L7 重定向；说明与 netfilter/kube-proxy 旁路关系，并为 kube-proxy 替代篇铺路。
【Cilium / eBPF】kube-proxy 替代：ClusterIP/NodePort 的 BPF 路径与失败模式
钉死 Cilium v1.20 kube-proxy replacement 下 ClusterIP、NodePort 与外部流量如何经 socket-LB / TC / XDP 与 service map；对照 iptables/IPVS，并列出 SNAT、DSR、Maglev 与共存迁移的失败表象——不写 Helm 百科。
【Cilium / eBPF】策略编译：NetworkPolicy 到 BPF 与默认拒绝窗口
拆解 Cilium v1.20 如何把 Kubernetes NetworkPolicy / CiliumNetworkPolicy 经 selector→identity 蒸馏进 endpoint policy map；钉死按方向的 default-deny 切换、Deny 优先与 identity 漂移造成的短暂拒绝/放行窗口。
【Cilium / eBPF】Hubble 信号：flow 字段语义与「指标全绿仍丢包」
界定 Hubble flow 关键字段对应数据面哪一层判定；区分 flow 流式观测与 Hubble/Cilium metrics 聚合口径，并列出指标全绿仍丢包的典型错位——不写 UI 点击教程。
【Cilium / eBPF】透明加密：WireGuard / IPsec 的路径税与失败模式
聚焦 Cilium v1.20 透明加密如何挂接节点密钥与数据面路径：WireGuard 与 IPsec 的覆盖范围、strict mode、发现窗口明文泄漏，以及路径税与失败表象；密码学细节外链 wireguard 系列。
【Cilium / eBPF】L7 与 Mesh 边界：节点 Envoy、sidecar 与 Ambient
划清 Cilium v1.20 可选 L7 路径：BPF 何时重定向节点 Envoy、与 sidecar / Istio Ambient 的职责边界及失败面；不重写 Ambient 数据面，不把 Cilium 写成全能网格。
【Cilium / eBPF】ClusterMesh：多集群身份、服务发现与明确不保证
拆解 Cilium v1.20 ClusterMesh 的控制面（clustermesh-apiserver / kvstoremesh）、跨集群身份与服务发现边界；列出 maxConnectedClusters 与身份空间权衡，并显式写清 ClusterMesh 不提供的保证。
【Cilium / eBPF】可观测与运维口径：cilium status、metrics 语义与 bpftool 边界
按观测层拆解 cilium status / cilium-dbg、Agent 与 Hubble Prometheus 指标语义、bpftool 与 cilium-dbg bpf 的职责边界；不粘贴伪造 scrape 或 Hubble 截图，只写口径与误读模式。
【Cilium / eBPF】排障坐标系：丢包、policy deny、identity 漂移、Service 黑洞与加密失败
按五轴映射 Cilium 东西向故障：通用丢包、Policy denied、identity 漂移窗口、Service/ClusterIP 黑洞、透明加密失败；每轴绑定 status/Hubble/map 层，一次否证一轴。
【Cilium / eBPF】对照替代路径：Calico、kube-proxy、Envoy sidecar 与 Ambient
从机制排除而非跑分出发，对照 Cilium eBPF 数据面与 Calico、kube-proxy iptables/IPVS、Envoy sidecar、Istio Ambient；链接 k8s-network/12–13、envoy/16、haproxy/14，不做延迟排行榜。
Linux 内核与 eBPF 工程索引
汇总本站 Linux 内核工程相关文章：eBPF / Cilium、io_uring、零拷贝权衡、无锁与内存屏障，以及分配器与调度实践。
【零信任安全架构】微分段深度拆解：从 VLAN 到 eBPF 的访问控制演化
微分段是零信任在网络层的核心机制——从传统 VLAN 的广播域隔离，到 Kubernetes NetworkPolicy 的 IP 级别过滤，再到 Cilium 基于身份的 eBPF 执行和 Istio 的 L7 策略。本文拆解四层微分段技术的实现原理、性能差异和适用场景，以及从'全通'到'全白名单'的策略制定流程。
【网络工程】eBPF 可编程网络：从包过滤到流量工程
eBPF 正在重新定义网络工程——从传统的 iptables/netfilter 规则堆砌，到可编程、可观测、高性能的网络数据平面。本文系统讲解 eBPF 网络程序类型（XDP/TC/Socket）、Map 数据结构、Cilium 的 eBPF 数据平面实现，以及 eBPF 在负载均衡、可观测性和网络安全中的工程实践。
【从零造容器】容器网络性能真相：veth vs macvlan vs eBPF 数据面
容器网络为什么比裸机慢？veth + bridge 每个包经过两次 netfilter，macvlan 跳过了 bridge，Cilium 用 eBPF 替掉了 iptables。到底慢多少？我们用 iperf3、wrk 和自定义 echo server 实测。
【eBPF 系列】eBPF + 容器：Cilium 的数据面为什么不再需要 iptables
5000 个 Service、十万条 iptables 规则、一次更新锁五秒——这就是 kube-proxy 的现实。Cilium 用 eBPF Map 的 O(1) 查找干掉了整条 KUBE-SERVICES 链，顺便把 sidecar 也一起埋了。