Cilium 1.20 Expands Gateway API and Opens eBPF Datapath for Kubernetes

Cilium 1.20 扩展 Gateway API 并为 Kubernetes 开放 eBPF 数据路径 - InfoQ

InfoQ 首页 News Cilium 1.20 扩展 Gateway API 并为 Kubernetes 开放 eBPF 数据路径

DevOps

QCon 旧金山（11 月 16-20 日）：深入的技术会议。改变你思维方式的同行对话。

Cilium 1.20 扩展 Gateway API 并为 Kubernetes 开放 eBPF 数据路径

2026 年 10 月 21 日 3 分钟阅读

作者：

• Matt Saunders

#### 关注我们

YouTube

232K 粉丝

LinkedIn

26K 粉丝

Instagram

新

RSS

19K 读者

X

57.1k 粉丝

Facebook

21K 喜欢

Bluesky

收听本文 -

0:00

音频准备播放

您的浏览器不支持音频元素。

正常

1.25x

1.5x

喜欢

新下拉阅读列表

• 阅读列表

Cilium 1.20 已发布，提供更广泛的 Kubernetes Gateway API 支持、可扩展的 eBPF 数据路径以及无 Sidecar 的双向 TLS 进一步工作。此版本还使更新的 netkit 网络设备更容易在运行不同 Linux 内核版本的 Kubernetes 集群中部署。

在发布说明中，Cilium 工程师 Nico Vibert 和 Donia Chaiehloudj 将 Gateway API 描述为 1.20 版本中的“更广泛的流量管理层”。Cilium 从 Gateway API 1.4 升级到 1.6，新增 ExternalAuth、ListenerSets、CORS 过滤、TCPRoute 和 UDPRoute。这些新增功能将 HTTP 认证和非 HTTP 服务（如数据库和 DNS）纳入与 Web 和 gRPC 流量相同的 Kubernetes API。

根据 Vibert 和 Chaiehloudj 的描述，ExternalAuth 允许 HTTPRoute 在将请求发送到应用程序之前咨询外部授权服务。根据响应，网关可以转发请求、将用户重定向到登录页面或拒绝请求。授权者还可以将身份头传递给应用程序。TCPRoute 和 UDPRoute 消除了对普通第 4 层流量使用 LoadBalancer 或 NodePort 服务的需要。

ListenerSets 解决了另一个所有权问题。应用团队可以添加自己命名空间中的监听器，同时平台团队仍能控制共享网关并决定哪些命名空间可以扩展它。平台工程师 Mohamed Salem BEN ATAIA 在 LinkedIn 上写道，ListenerSets 缩小了拥有路由的团队与需要为新主机名或端口进行集中更改之间的差距。在他的评估中，“它消除了平台瓶颈。”

“Gateway API 成为一个更广泛的流量管理层。” Nico Vibert 和 Donia Chaiehloudj

这一方向与 Kubernetes 网络其他领域的进展一致。InfoQ 之前报道过，随着组织逐步淘汰已弃用的 Ingress NGINX 控制器，Kubernetes 社区推荐使用 Gateway API。AWS 也在其负载均衡器控制器中实现了 Gateway API 的一般可用性，通过应用负载均衡器支持 HTTP 和 gRPC，通过网络负载均衡器支持 TCP 和 UDP。Cilium 的实现不同之处在于，同一项目可以提供 CNI、服务网络和网关功能。

第二个变化是将 Cilium 的 eBPF 数据路径开放给第三方插件。此前，需要自定义监控或网络行为的云提供商必须将更改提交到上游或维护一个分支。现在插件可以作为独立进程运行，并可以独立构建、版本化和升级。Cilium 通过一个小的自定义资源和 gRPC 接口与它通信。

“Google 开发的数据路径插件使 Cilium 更不像一个封闭的网络设备，而更像一个网络操作系统。”Nico Vibert 和 Donia Chaiehloudj

插件机制目前处于测试版阶段，并不作为普通集群用户的一般扩展系统进行展示。Cilium 的文档指出，该功能旨在为熟悉 Cilium 内部原理的运维人员使用。同时警告称，插件可能导致 Cilium 功能异常或削弱安全性，且随着 Cilium 内部架构的变化，维护人员可能需要更新其代码。

Cilium 1.20 版本还引入了 pod 数据路径的自动选择功能。设置 bpf.datapathMode=auto 后，每个代理将在启动时测试其所在主机，内核支持时使用 netkit，其他情况则回退到传统的 veth 对。Netkit 需要 Linux 6.8 或更高版本。默认仍保持 veth，因此现有安装不会发生变化，除非运维人员主动启用该功能。Vibert 和 Chaiehloudj 表示，这避免了为选择数据路径模式而将混合集群拆分为独立节点池的情况。

第四个主要改进是 ztunnel，这是 Cilium 1.19 版本为无 sidecar 的双向 TLS 引入的节点级代理。1.20 版本新增了内部证书颁发机构与 SPIRE 颁发的工作负载身份之间的选择，并提供了用于注册和连接状态的 Prometheus 指标。Ztunnel 在通过 HBONE 隧道建立 TLS 1.3 连接期间会保持新连接，避免了旧版双向认证设计可能导致的首个数据包丢失问题，并对同一节点内 pod 之间的支持 TCP 流量进行加密。

这与 Istio 的 ambient 模式有相似之处，而 Cilium 的实现基于最初为 Istio 创建的 ztunnel 项目。Cilium 的 ztunnel 仍处于测试版，而其旧版双向认证功能现已弃用。考虑升级的运维人员还应查阅 1.20 版本发布说明，其中标识了针对旧版双向认证、Kafka 感知策略、Envoy Go 扩展、自定义 CNI 配置和多个弃用 API 的可能操作。

作者信息部分主容器

关于作者

章节标题

每个作者信息的主容器

#### Matt Saunders

显示更多

显示更少

#### 本内容属于 DevOps 主题

##### 相关主题：

• DevOps
• eBPF
• Kubernetes
• API 网关
• 相关编辑内容
• 相关赞助商 [通过 O'Reilly 下载] 《工程领域人工智能采用规模扩展》

• 相关赞助商 Antithesis 通过确定性模拟探索数千种故障场景，发现测试中难以复现的缺陷，防止其进入生产环境。[查看其工作原理]

InfoQ 新闻通讯

每周五汇总 InfoQ 最新内容，每周二发送。加入超过 25 万名高级开发者的社区。[查看示例]

我们保护您的隐私。