漫步远方，心荡神往

似乎大家都不太喜欢 iptables，Cilium 好像也是一样的。使用了 Cilium 一段时间，对于 Cilium 使用 eBPF 构建高性能、可扩展的容器网络印象深刻，并且还具备 L7 策略和可观测性能力。如果你之前还没有听说过 Cilium，可以去了解与试用一下！

从早期开始，Cilium 就通过网络和应用程序协议层来提供连接、负载平衡、安全性和可观察性，从而与服务网格概念保持良好一致。对于所有网络处理，包括 IP、TCP 和 UDP 等协议，Cilium 使用 eBPF 作为高效的内核数据路径。HTTP、Kafka、gRPC、DNS 等应用层协议通过 Envoy 等代理进行解析。

当网络数据包到达网卡时，数据包从网卡是如何到 Linux（以内核4.19举例） 网络协议栈？先回顾 OSI 七层模型与 TCP/IP 五层模型，如下所示： TCP/IP 应用层数据包的格式如下所示： 我们先来了解一下 Linux 中的网络协议模型和网络子系统。 网络协议模型（网络协议栈） 应用层提供 socket 接口来供用户进程访问内核空间的网络协议栈 传输层、网络层协议由 Linux 内核网络协议栈实现 链路层协议靠网卡驱动来实现 物理层协议由硬件网卡实现 网络子系统（网络子系统是 Linux 内核中的一部分，由多个模块和驱动程序组成，它负责管理和控制系统的网络功能以实现网

Caretta 是一种轻量级的独立工具，快速展示集群中运行的服务可视化网络图。

Cilium 是一个用于容器和微服务网络安全的开源软件项目。它提供了一种基于 Linux 内核的数据平面和一个高级的控制平面，用于实现网络和安全策略的管理。Cilium 的设计理念是通过深度集成到容器和 Kubernetes 中，提供全面的安全和网络功能，同时保持高性能和可扩展性。它使用 Linux 内核的 eBPF (extended Berkeley Packet Filter) 技术来实现高效的数据平面，并使用 Kubernetes API 来管理网络和安全策略。Cilium 还支持多种网络和安全功能，例如应用层负载均衡、服务发现、网络加密和网络策略等。