【Cilium / eBPF】数据面全景：五轴坐标系与 16 篇路线
相对 k8s-network/13、ebpf/ 与 Envoy/HAProxy 排除树，钉清 Cilium eBPF 数据面内核缺口；定义 Identity、BPF 挂载、Map 状态、包路径、策略与观测五条坐标系，给出 16 篇阅读路线。
v1.20.0 标签归档
共 17 篇文章 · 返回首页
【Cilium / eBPF】Endpoint 与 Identity：数字身份、标签选择与生命周期
钉清 Cilium Endpoint 与 Numeric Identity 的关系：安全相关标签如何导出集群范围数字身份、保留身份与 well-known 身份、标签变更时的短暂 deny/allow 窗口，以及相对 IP 策略消除了什么。
【Cilium / eBPF】BPF 挂载与程序生命周期：TC、XDP、cgroup 在路径上的角色
说明 Cilium v1.20 如何在 XDP、TC、cgroup socket 等 hook 上分工；对照 bpf_xdp/host/lxc/sock 源码入口与 Intro 中的数据面对象；交代加载/替换边界，不重写 verifier 算法。
【Cilium / eBPF】关键 BPF Map：policy、service、CT 的职责与失败表象
按 Cilium v1.20 Maps 文档钉清 policy、Service LB、CT、NAT、ipcache 等 map 的职责、默认容量与满表后果；说明 v3 policy map 语义变更，内核 map 实现外链 ebpf/ 系列。
【Cilium / eBPF】东西向包路径：Pod→Pod 停顿点与 netfilter 旁路
沿 Cilium v1.20 Life of a Packet 钉清同节点与跨节点东西向停顿点：Endpoint Policy、Service、socket 加速、加密与 L7 重定向；说明与 netfilter/kube-proxy 旁路关系，并为 kube-proxy 替代篇铺路。
【Cilium / eBPF】kube-proxy 替代：ClusterIP/NodePort 的 BPF 路径与失败模式
钉死 Cilium v1.20 kube-proxy replacement 下 ClusterIP、NodePort 与外部流量如何经 socket-LB / TC / XDP 与 service map；对照 iptables/IPVS，并列出 SNAT、DSR、Maglev 与共存迁移的失败表象——不写 Helm 百科。
【Cilium / eBPF】策略编译：NetworkPolicy 到 BPF 与默认拒绝窗口
拆解 Cilium v1.20 如何把 Kubernetes NetworkPolicy / CiliumNetworkPolicy 经 selector→identity 蒸馏进 endpoint policy map；钉死按方向的 default-deny 切换、Deny 优先与 identity 漂移造成的短暂拒绝/放行窗口。
【Cilium / eBPF】Hubble 信号：flow 字段语义与「指标全绿仍丢包」
界定 Hubble flow 关键字段对应数据面哪一层判定；区分 flow 流式观测与 Hubble/Cilium metrics 聚合口径，并列出指标全绿仍丢包的典型错位——不写 UI 点击教程。
【Cilium / eBPF】透明加密：WireGuard / IPsec 的路径税与失败模式
聚焦 Cilium v1.20 透明加密如何挂接节点密钥与数据面路径：WireGuard 与 IPsec 的覆盖范围、strict mode、发现窗口明文泄漏，以及路径税与失败表象；密码学细节外链 wireguard 系列。
【Cilium / eBPF】L7 与 Mesh 边界：节点 Envoy、sidecar 与 Ambient
划清 Cilium v1.20 可选 L7 路径：BPF 何时重定向节点 Envoy、与 sidecar / Istio Ambient 的职责边界及失败面；不重写 Ambient 数据面，不把 Cilium 写成全能网格。
【Cilium / eBPF】ClusterMesh：多集群身份、服务发现与明确不保证
拆解 Cilium v1.20 ClusterMesh 的控制面（clustermesh-apiserver / kvstoremesh）、跨集群身份与服务发现边界；列出 maxConnectedClusters 与身份空间权衡，并显式写清 ClusterMesh 不提供的保证。
【Cilium / eBPF】可观测与运维口径：cilium status、metrics 语义与 bpftool 边界
按观测层拆解 cilium status / cilium-dbg、Agent 与 Hubble Prometheus 指标语义、bpftool 与 cilium-dbg bpf 的职责边界；不粘贴伪造 scrape 或 Hubble 截图，只写口径与误读模式。
【Cilium / eBPF】排障坐标系：丢包、policy deny、identity 漂移、Service 黑洞与加密失败
按五轴映射 Cilium 东西向故障：通用丢包、Policy denied、identity 漂移窗口、Service/ClusterIP 黑洞、透明加密失败；每轴绑定 status/Hubble/map 层，一次否证一轴。
【Cilium / eBPF】对照替代路径：Calico、kube-proxy、Envoy sidecar 与 Ambient
从机制排除而非跑分出发，对照 Cilium eBPF 数据面与 Calico、kube-proxy iptables/IPVS、Envoy sidecar、Istio Ambient；链接 k8s-network/12–13、envoy/16、haproxy/14，不做延迟排行榜。
【Cilium / eBPF】Gateway API / 南北向边界：与本系列东西向焦点的分工
厘清 Cilium Gateway API 南北向入口与本系列东西向 eBPF 数据面的分工：能力边界、排障坐标分叉、加密与 KPR 组合风险；标明本系列刻意不写的 Gateway 全书内容。
【Cilium / eBPF】选型收束：排除树、开放问题与系列边界关闭
用机制排除树收束 Cilium eBPF 相对 Calico、kube-proxy、Envoy sidecar、Ambient 的选型；回收 Envoy/HAProxy 终章的 eBPF 叶；列出系列级开放问题；以 ADR 友好语言关闭数据面续作边界。
Cilium / eBPF 数据面内核：从 Identity 到包路径
补齐站内 Cilium 产品单篇与 eBPF 内核实现之上的数据面内核层：Endpoint/Identity、BPF 挂载与 Map、东西向包路径、kube-proxy 替代、策略编译、Hubble、加密与 Mesh/ClusterMesh 边界，并以排障与选型收束。