Cilium：用 eBPF 替代 kube-proxy
推荐指数 66.0 NO. 003 · 2026.09.18
Stars25,240
为什么值得看
基于 eBPF 的 Kubernetes 网络、可观测与安全方案，通过内核态数据面实现 L3-L7 身份安全策略。云原生基础设施团队可用它解决大规模集群 kube-proxy 性能瓶颈和服务网格复杂度问题。
eBPF-based Networking, Security, and Observability
媒体预览
编辑判断
kube-proxy 的 iptables 模式在万级 Service 时规则膨胀严重，IPVS 模式缓解了但仍是内核绕路。Cilium 直接把负载均衡逻辑下沉到 eBPF hash table，避免了 both。Istio 团队去年也开始用 Cilium 做数据面替代 Envoy 的部分场景，说明服务网格和 CNI 的边界在模糊。
如果你在用 Calico 做网络策略但受限于 BGP 全互联的复杂度，或者 Istio 的 sidecar 资源开销让你头疼，Cilium 的 kube-proxy replacement + sidecarless mesh 路径值得评估。25K star 说明生产验证已足够，不是早期项目了。
Star History
生态分析
Production
CNCF孵化级项目，eBPF云原生网络与安全事实标准，替代kube-proxy和服务网格
独特价值：内核态eBPF数据面实现L3-L7身份策略，兼顾高性能与零侵入可观测