Cilio (informática)

Cilium fue aceptado en la Cloud Native Computing Foundation el 13 de octubre de 2021 como proyecto en fase de incubación. Solicitó convertirse en un proyecto graduado el 27 de octubre de 2022. ^{[ 19 ]} Un año después, se convirtió en un proyecto graduado. Cilium es uno de los proyectos de más rápido crecimiento en el ecosistema de la CNCF. ^{[ 30 ]}

Cilium ha sido adoptado por muchos usuarios de producción a gran escala, incluyendo más de 100 que lo han declarado públicamente, ^{[ 31 ]} por ejemplo:

• Datadog utiliza Cilium como su reemplazo de CNI y kube-proxy ^{[ 32 ] [ 33 ]}
• Ascend utiliza Cilium como su único CNI en múltiples proveedores de nube ^{[ 34 ].}
• Bell Canada utiliza Cilium y eBPF para redes de telecomunicaciones ^{[ 35 ] [ 36 ]}
• Cosmonic utiliza Cilium para su PaaS basado en Nomad ^{[ 37 ] [ 38 ] [ 39 ]}
• IKEA utiliza Cilium para su nube privada bare-metal autohospedada ^{[ 40 ].}
• S&P Global utiliza Cilium como su CNI ^{[ 41 ]}
• Sky utiliza Cilium como su CNI y para la seguridad de la red ^{[ 42 ].}
• El New York Times utiliza Cilium en EKS para clústeres compartidos multi-inquilino multi-región ^{[ 43 ].}
• Trip.com utiliza Cilium tanto en sus instalaciones como en AWS ^{[ 44 ]}
• OpenAI utiliza Cilium como su CNI ^{[ 45 ]}
• Palantir utiliza Cilium como su CNI en todos los principales proveedores de nube ^{[ 46 ].}
• TikTok utiliza Cilium como su CNI en sus centros de datos que solo utilizan IPv6 ^{[ 47 ].}

Cilium es el CNI para muchos proveedores de nube, incluidos Alibaba, ^{[ 48 ]} APPUiO, ^{[ 49 ]} Azure, ^{[ 50 ]} AWS, ^{[ 16 ]} DigitalOcean , ^{[ 51 ]} Exoscale, ^{[ 52 ]} Google Cloud, ^{[ 15 ]} Hetzner, ^{[ 53 ]} y Tencent Cloud. ^{[ 54 ]}

Cilium comenzó como un proyecto de redes de contenedores. Con el crecimiento de Kubernetes y la orquestación de contenedores, Cilium se convirtió en un CNI, ^{[ 8 ]} proporcionando aspectos básicos como la configuración de interfaces de red de contenedores y la conectividad entre Pods. Desde el principio, Cilium basó su red en eBPF en lugar de iptables o IPVS , apostando a que eBPF se convertiría en el futuro de las redes nativas de la nube. ^{[ 55 ]}

El plano de datos basado en eBPF de Cilium proporciona una red plana de capa 3 sencilla con la capacidad de abarcar múltiples clústeres en modo de enrutamiento nativo o superpuesto con Cilium Cluster Mesh. Es compatible con el protocolo de capa 7 y puede aplicar políticas de red desde la capa 3 hasta la capa 7, incluso con FQDN , mediante un modelo de seguridad basado en identidades que está desacoplado del direccionamiento de red.

Cilium implementa el balanceo de carga distribuido para el tráfico entre Pods y hacia servicios externos, y puede reemplazar completamente a kube-proxy, ^{[ 56 ]} utilizando XDP , balanceo de carga basado en sockets y tablas hash eficientes en eBPF. También admite funcionalidades avanzadas como gateways de entrada y salida integrados, ^{[ 57 ]} gestión de ancho de banda, un balanceador de carga independiente y malla de servicios. ^{[ 58 ]}

Cilium es el primer CNI que admite características avanzadas del kernel, como el control de congestión TCP BBR ^{[ 59 ]} y BIG TCP ^{[ 60 ]} para Pods de Kubernetes. ^{[ 61 ]}

Hubble es la herramienta de observabilidad, el mapa de servicios y la interfaz de usuario de Cilium, que se incluye con CNI. ^{[ 62 ] [ 63 ]} Se puede utilizar para observar flujos de paquetes de red individuales , ver decisiones de política de red para permitir o bloquear el tráfico y crear mapas de servicios que muestren cómo se comunican los servicios de Kubernetes. ^{[ 64 ]} Hubble puede exportar estos datos a Prometheus , OpenTelemetry, Grafana y Fluentd para un análisis más profundo de las métricas de las capas 3/4 y 7. ^{[ 65 ]}

Tetragon es el proyecto de Cilium para la observabilidad de la seguridad y la aplicación de políticas en tiempo de ejecución. ^{[ 66 ]} Tetragon es una herramienta flexible de observabilidad de la seguridad y aplicación de políticas en tiempo de ejecución compatible con Kubernetes que aplica políticas y filtrado directamente con eBPF. Permite a los usuarios supervisar y observar el ciclo de vida completo de la ejecución de cada proceso en su máquina, traducir políticas para la supervisión de archivos, la observabilidad de la red, la seguridad de contenedores y más en programas eBPF, y realizar la supervisión, el filtrado y la aplicación de políticas de forma síncrona completamente en el kernel.

ebpf-go es una biblioteca puramente Go para interactuar con el subsistema eBPF en el kernel de Linux. ^{[ 67 ]} Tiene dependencias externas mínimas, enfatiza la confiabilidad y la compatibilidad, y está ampliamente implementada en producción.

pwru («¿Dónde estás, paquete?») es una herramienta basada en eBPF para rastrear paquetes de red en el kernel de Linux con capacidades avanzadas de filtrado. Permite una introspección detallada del estado del kernel para facilitar la depuración de problemas de conectividad de red. Internamente, pwru adjunta programas de depuración eBPF a todas las funciones del kernel de Linux responsables del procesamiento de paquetes de red.

Esto proporciona al usuario una visión más detallada del procesamiento de paquetes en el kernel que con tcpdump , Wireshark o herramientas más tradicionales. Además, puede mostrar metadatos de los paquetes, como el espacio de nombres de red, la marca de tiempo de procesamiento, los campos de representación interna de paquetes del kernel y mucho más.

Cilium comenzó como un proyecto de redes y cuenta con numerosas características que le permiten proporcionar una experiencia de conectividad consistente desde cargas de trabajo de Kubernetes hasta máquinas virtuales y servidores físicos que se ejecutan en la nube, en las instalaciones o en el borde de la red . Algunas de estas características incluyen:

• Interfaz de red de contenedores (CNI) ^{[ 68 ]} - Proporciona conectividad de red para clústeres de Kubernetes
• Balanceador de carga de capa 4 ^{[ 69 ]} - Basado en Maglev ^{[ 70 ] [ 71 ]} y XDP ^{[ 72 ]} para manejar el tráfico norte/sur
• Cluster Mesh ^{[ 73 ]} - Combina varios clústeres de Kubernetes en una sola red.
• Optimización del ancho de banda y la latencia ^{[ 74 ]} - Colas equitativas, optimización TCP y limitación de velocidad
• Reemplazo de kube-proxy ^{[ 75 ]} - Reemplaza iptables con tablas hash eBPF
• BGP ^{[ 76 ]} - Se integra en redes existentes y proporciona equilibrio de carga en clústeres bare metal.
• Puerta de enlace de salida ^{[ 77 ]} - Proporciona una IP estática para la integración en cargas de trabajo externas
• Malla de servicios ^{[ 78 ] [ 79 ]} - Incluye entrada, terminación TLS , despliegues canary, limitación de velocidad y disyuntor.
• API de puerta de enlace ^{[ 80 ]} : implementación totalmente conforme para gestionar el acceso a clústeres de Kubernetes.
• SRv6 ^{[ 81 ]} - Define el procesamiento de paquetes en la red como un programa
• Compatibilidad con BBR para Pods ^{[ 82 ]} : permite un mejor rendimiento y latencia para el tráfico de Internet.
• Puerta de enlace NAT 46/64 ^{[ 83 ]} - Permite que los servicios IPv4 se comuniquen con los servicios IPv6 y viceversa.
• BIG TCP para IPv4/IPv6 ^{[ 84 ]} - Permite un mejor rendimiento al reducir la cantidad de paquetes que atraviesan la pila.
• Cilium Mesh ^{[ 85 ] [ 86 ]} - Conecta cargas de trabajo que se ejecutan fuera de Kubernetes con las que se ejecutan dentro de él.

Al estar integrado en el núcleo, eBPF tiene visibilidad completa de todo lo que sucede en una máquina. Cilium aprovecha esto con las siguientes características:

• Mapa de servicios ^{[ 87 ]} - Proporciona una interfaz de usuario para flujos de red y políticas
• Registros de flujo de red ^{[ 88 ]} : proporciona visibilidad de capa 3/4 y DNS conectada a la identidad.
• Visibilidad del protocolo de red ^{[ 89 ]} - Incluyendo HTTP, gRPC, Kafka, UDP y SCTP
• Exportación de métricas y seguimiento ^{[ 90 ]} : Envía datos a Prometheus, OpenTelemetry u otro sistema de almacenamiento.

eBPF puede detener eventos en el kernel por motivos de seguridad. Los proyectos de Cilium aprovechan esto a través de las siguientes características:

• Cifrado transparente ^{[ 91 ]} : utiliza IPSec o WireGuard.
• Política de red ^{[ 92 ]} - Incluye políticas de capa 3 a capa 7 y políticas compatibles con DNS.
• Aplicación en tiempo de ejecución ^{[ 93 ]} : detiene los procesos que no cumplen con las políticas predeterminadas.
• Monitoreo de la integridad de archivos ^{[ 94 ]} - Rastrea las modificaciones al sistema

El siguiente gráfico muestra el período durante el cual se mantiene cada versión de la comunidad Cilium:

Entre las conferencias dedicadas al desarrollo de Cilium en el pasado se incluyen:

• CiliumCon EU 2023, ^{[ 28 ]} celebrada conjuntamente con KubeCon + CloudNativeCon EU 2023 ^{[ 95 ]}
• CiliumCon NA 2023, ^{[ 96 ]} celebrado conjuntamente con KubeCon + CloudNativeCon NA 2023 ^{[ 97 ]}
• CiliumCon EU 2024, ^{[ 98 ]} celebrada conjuntamente con KubeCon + CloudNativeCon EU 2024 ^{[ 99 ]}
• CiliumCon NA 2024 ^{[ 100 ]} celebrado conjuntamente con KubeCon + CloudNativeCon NA 2024 ^{[ 101 ]}

La comunidad de Cilium publica un informe anual que detalla cómo se ha desarrollado a lo largo del año:

• Informe anual de Cilium 2022: Año del CNI ^{[ 102 ]}
• Informe anual de Cilium 2023: Año de graduación ^{[ 103 ]}
• Informe anual de Cilium 2024: El año de las redes Kubernetes ^{[ 104 ]}
• Informe anual de Cilium 2025: Década de redes nativas en la nube ^{[ 105 ]}