Cilium ist eine moderne Netzwerk-Lösung für Kubernetes, die auf eBPF aufbaut. Statt iptables-Ketten verwaltet Cilium die Paketverarbeitung direkt im Linux-Kernel über eBPF-Programme — das ist schneller, skaliert besser und eröffnet neue Möglichkeiten für Sicherheit und Beobachtbarkeit.
Wie funktioniert Cilium?
eBPF erlaubt es, kleine Programme sicher im Kernel auszuführen, wenn Pakete ankommen oder abgehen. Cilium nutzt das für Routing, Load-Balancing und Firewall in einem Schritt — ohne lange iptables-Regelketten pro Service. Dadurch kann Cilium den kube-proxy vollständig ersetzen (kubeProxyReplacement).
Zentrale Eigenschaften:
- Identitätsbasierte Policies: Statt IP-Adressen verwendet Cilium Pod-Labels als Identität. Netzwerk-Policies auf Layer 3/4 und sogar Layer 7 (HTTP, gRPC) werden direkt im Kernel durchgesetzt.
- Hubble liefert Observability: Flüsse zwischen Pods, Service-Abrufe und Security-Ereignisse sind sichtbar, ohne extra Agents im Datenpfad.
- Service Mesh ohne Sidecar: Zusammen mit Envoy kann Cilium Service-Mesh-Funktionen wie mTLS und Traffic-Management bereitstellen, ohne dass jeder Pod einen Sidecar-Proxy benötigt.
- Verschlüsselung: Optionaler WireGuard- oder IPsec-Tunnel für die Kommunikation zwischen Nodes.
Verwandte Grundlagen: CNI, Kubernetes-Node, Calico, Flannel, Service Mesh, Observability.