Cilium ersätter iptables-baserad routing i klustret med eBPF-program i kärnan, och lägger till identitetsbaserad policy och trafikinsyn via Hubble. På AKS finns det som Azure CNI powered by Cilium.
Varför TRIAL
Det löser två problem samtidigt. Prestandan blir förutsägbar i stora kluster, där iptables-kedjor annars växer med antalet tjänster. Och policyn blir begriplig: regler skrivs mot identitet i stället för mot IP-adresser som ändras vid varje omstart. Ett säkerhetsteam som ska godkänna segmentering förstår "betalningstjänsten får prata med databasen" på ett sätt de aldrig förstår en CIDR-lista.
Hubble ger dessutom svaret på frågan som brukar ta en halv dag: vem försökte prata med vem, och varför blev det nekat.
Vad det kostar
Felsökning kräver ny kompetens. När något inte fungerar hjälper det inte att kunna iptables, och antalet personer i huset som kan läsa eBPF-datapaths är oftast noll till en. Det gör Cilium till ett beroende av en person om ni inte medvetet sprider kunskapen.
Kärnversioner spelar också roll igen, på ett sätt de inte gjort på ett tag.
När det är fel val
När ni kör små kluster och redan har en fungerande CNI som ingen klagar på. Byt inte nätverkslager för att läsa en bra artikel om eBPF. Vänta tills ni har en konkret smärta: prestanda, policy som inte går att skriva, eller insyn som saknas.