Cilium Service Mesh：基于 eBPF 的无 Sidecar 云原生网络与可观测性实战

\n\n

引言：Sidecar 之痛

\n\n

Kubernetes 生态发展到今天，服务网格（Service Mesh）已经成为微服务架构的标配组件。然而，传统的 Sidecar 模式——为每个 Pod 注入一个 Envoy 代理——带来了令人头疼的资源开销和运维复杂度。一个中等规模的集群动辄数千个 Sidecar 容器，每个占用 50-100MB 内存，请求延迟因额外跳转增加 2-3ms。

\n\n

Cilium 给出的答案是：用 eBPF 将所有网络、安全和可观测性逻辑下沉到内核，彻底干掉 Sidecar。本文将深入剖析 Cilium Service Mesh 的架构原理，并通过实战演练展示如何构建高性能的云原生网络平面。

\n\n

一、eBPF 内核可编程性的力量

\n\n

eBPF（Extended Berkeley Packet Filter）是 Cilium 的技术基石。它允许在内核中安全执行用户定义的沙箱程序，无需修改内核源码或加载内核模块。

\n\n

1.1 eBPF 挂载点与执行模型

\n\n

eBPF 程序可以挂载到网络的各个关键路径上：

\n\n

// eBPF 程序的基本执行模型\n// 数据包到达 → 触发挂载点 → eBPF 程序执行 → 返回判决结果\n\n挂载点类型：\n├── XDP（eXpress Data Path） — 网卡驱动层，最早处理点\n├── TC（Traffic Control）   — 内核协议栈入口/出口\n├── Socket Filter          — socket 层级操作\n├── Kprobe/Uprobe           — 内核/用户态函数追踪\n└── Cgroup                 — 容器 cgroup 级别控制

\n\n

1.2 eBPF Map：内核态与用户态的桥梁

\n\n

eBPF Map 是内核态和用户态共享数据的唯一通道，支持 Hash、Array、LRU、RingBuffer 等多种数据结构：

\n\n

// 定义一个存储连接跟踪状态的 eBPF Map\nstruct {\n    __uint(type, BPF_MAP_TYPE_LRU_HASH);\n    __uint(max_entries, 65535);\n    __type(key, struct conn_key);    // 五元组\n    __type(value, struct conn_state); // 连接状态   统计\n} conn_track_map SEC(\".maps\");

\n\n

这类 Map 在 Cilium 中用于实现会话保持、连接跟踪、策略决策缓存等关键功能。

\n\n

二、Cilium Service Mesh 架构全解

\n\n

Cilium Service Mesh 包含三大核心组件，构建了一个完整的 L3-L7 网络平面：

\n\n\n\n

2.1 数据平面：eBPF 程序集

\n\n

每个节点部署一组 eBPF 程序，覆盖网络生命周期的所有阶段：

\n\n

┌─────────────────────────────────────────────────────────┐\n│                    Cilium 数据平面                       │\n├─────────────────────────────────────────────────────────┤\n│                                                         │\n│  ┌──────────────┐    ┌──────────────┐                  │\n│  │  Pod A       │    │  Pod B       │                  │\n│  │  eth0        │    │  eth0        │                  │\n│  └──────┬───────┘    └──────┬───────┘                  │\n│         │                   │                           │\n│         ▼                   ▼                           │\n│  ┌─────────────────────────────────────┐               │\n│  │         TC Ingress/Egress           │               │\n│  │  ┌─────────────────────────────┐    │               │\n│  │  │   L3/L4 策略检查 (身份模型)   │    │               │\n│  │  │   L7 策略解析 (HTTP/gRPC)    │    │               │\n│  │  │   负载均衡