Cilium@ネットワーク系

はじめに

本サイトにつきまして、以下をご認識のほど宜しくお願いいたします。

• 【IT技術の知見】はじめに - 俺の技術ノート

01. Cilium の仕組み

アーキテクチャ

Cilium は、Cilium エージェント、Cilium CNI から構成される。

• Ciliumを試す -サービスメッシュにサイドカーが必須だと思っていたがそんなことはなかったぜ- - CADDi Tech Blog

Cilium エージェント

▼ Cilium エージェントとは

コンテナ上のプロセスは、コンテナのカーネルに対してシステムコールを実行する。

Cilium エージェントは、システムコールのイベントが発生したときに eBPF を実行し、Cilium の処理をフックする。

これにより、Cilium はシステムコールのテレメトリーを収集できる。

• GrafanaとCiliumが戦略的提携。eBPFベースの強力な可観測性のCiliumとGrafanaの統合を推進 － Publickey
• 2022年に注目したいCloudNative関連技術 | gihyo.jp

Cilium CNI

▼ Cilium CNI とは

Kubernetes のデフォルトの CNI と衝突するため、これを無効化する必要がある。

デフォルトの CNI を無効化すると、この CNI と kube-proxy が Cilium CNI に置き換わる。

• Kubernetes Without kube-proxy — Cilium 1.20.2 documentation

▼ Istio との連携

Cilium CNI と istio-proxy を組み合わせて、トラフィックを制御する。

Cilium のサービスメッシュ機能は、あくまで Cilium のなかで一機能としてでしかない。

そのため、Istio と Cilium CNI であれば連携できる。

• Istio + kube-proxy + 従来の CNI
• Istio + Cilium CNI
• Cilium サービスメッシュ + Cilium CNI
• Cilium サービスメッシュ + Istio (Cilium サービスメッシュと Istio が部分的に競合するので、どちらかのサービスメッシュで設定の無効化が必要) + Cilium CNI

• https://www.slideshare.net/techcet/kernel-advantages-for-istio-realized-with-cilium#12
• https://www.reddit.com/r/kubernetes/comments/1cygujm/comment/l5lf7ua/?utm_source=share&utm_medium=web3x&utm_name=web3xcss&utm_term=1&utm_content=share_button

Istio と Cilium サービスメッシュの間で競合する機能 (例えば、L7 のトラフィック管理) については、以下の箇所に対処方法がある。

しかし、全体としてかなり複雑な設定になりそうです

• Integration with Istio — Cilium 1.21.0-dev documentation

02. Cilium サービスメッシュ

Cilium サービスメッシュの仕組み

Cilium Service Mesh は、eBPF と Envoy を使用して通信を処理する。

なお、Cilium サービスメッシュは前提として Cilium CNI を必要とする。

そのため、Istio のように、既存の Kubernetes のネットワークを残したままサービスメッシュを導入できない。

• Service Mesh — Cilium 1.20.2 documentation
• Ciliumを試す -サービスメッシュにサイドカーが必須だと思っていたがそんなことはなかったぜ- - CADDi Tech Blog

パケットのアプリケーションデータの暗号化

Node 上の Pod 間の通信を IPSec や WireGuard で暗号化する。

• Next-Generation Mutual Authentication (mTLS) with Cilium Service Mesh