Cilium在AWS EKS环境中优化ENI模式的IPv4伪装配置

背景与现状分析

在AWS EKS环境中使用Cilium的ENI模式时，Pod会直接从弹性网络接口(ENI)获取IP地址。这些IP地址在VPC网络内本身就是可路由的，这意味着从网络架构设计的角度来看，将Pod IP通过SNAT转换为节点IP的做法在大多数场景下是不必要的。

当前Cilium的默认配置中，enableIPv4Masquerade参数被设置为true，这会导致以下iptables规则被创建：

-A CILIUM_POST_nat -o eth+ -m set --match-set cilium_node_set_v4 dst -j ACCEPT
-A CILIUM_POST_nat ! -d 192.168.0.0/16 -o eth+ -j MASQUERADE

这些规则虽然通过CIDR匹配避免了VPC内部流量的SNAT，但这种设计存在两个问题：

1. 增加了不必要的iptables规则复杂度
2. 可能给用户带来配置理解上的困惑

技术优化方案

配置调整建议

对于标准的AWS VPC网络架构（节点部署在私有子网），建议将enableIPv4Masquerade显式设置为false。这种配置更符合云原生网络的设计原则：

1. 保留Pod原始IP地址，便于网络流量监控和故障排查
2. 减少节点上的网络处理开销
3. 与AWS NAT网关的分工更清晰：
   • Cilium负责Pod间的服务发现和网络策略
   • AWS NAT网关负责私有IP到公网IP的转换

特殊场景考虑

在极少数情况下，如果用户将EKS节点部署在公有子网（不推荐的安全实践），则需要：

1. 保持enableIPv4Masquerade为true
2. 或者正确配置AWS路由表和网络ACL

实施影响评估

此项变更将影响以下方面：

1. 文档更新：需要修改EKS安装指南，明确推荐在ENI模式下禁用IPv4伪装
2. CLI工具：cilium-cli的默认参数需要相应调整
3. 升级兼容性：现有集群升级时需要注意配置迁移

最佳实践建议

对于新建EKS集群，推荐采用以下网络架构：

1. 节点部署在私有子网
2. 通过AWS NAT网关处理出向互联网流量
3. Cilium配置中显式设置：

eni:
  enabled: true
ipam:
  mode: eni
enableIPv4Masquerade: false

这种配置方案既符合AWS网络最佳实践，又能充分发挥Cilium在服务网格和网络策略方面的优势，同时保持网络流量的透明性和可观测性。

总结

在云原生网络架构演进过程中，合理划分各网络组件的职责边界至关重要。Cilium作为Kubernetes CNI，在AWS环境中应专注于服务发现和网络策略实施，而将基础网络功能交由云平台原生组件处理。通过优化ENI模式下的IPv4伪装配置，可以使整个网络架构更加清晰、高效且易于维护。