Cilium负载均衡协议差异问题的分析与修复

问题背景

在Cilium网络解决方案中，负载均衡功能是核心组件之一。近期在v1.17.2版本中发现了一个与负载均衡服务查找相关的兼容性问题，该问题影响了使用特定协议配置的服务流量转发。

问题现象

当用户将服务配置为externalTrafficPolicy: Local模式时，系统会出现流量被意外丢弃的情况。具体表现为：

1. 原始服务条目配置为IPv6格式的ANY协议
2. 升级到v1.17.2版本后
3. 修改服务为externalTrafficPolicy: Local配置后，系统自动将服务拆分为TCP协议条目
4. 此时流量被策略拒绝，错误显示"Policy denied by denylist"

技术分析

这个问题源于Cilium的兼容性代码实现。在负载均衡服务查找过程中(lb*_lookup_service())，当查找本地后端(LB_LOOKUP_SCOPE_INT)时，系统需要同时考虑协议差异，应该执行两次查找而不是一次。

具体来说，当服务被配置为externalTrafficPolicy: Local时：

1. 系统会创建两个服务条目：一个普通条目和一个带"i"标记的本地条目
2. 在v1.17.2版本中，查找逻辑没有正确处理协议差异情况
3. 导致流量无法正确匹配到本地后端服务
4. 最终触发策略拒绝机制，丢弃合法流量

解决方案

修复方案的核心是修改负载均衡查找逻辑，确保：

1. 在查找本地后端时也考虑协议差异
2. 对每种协议类型执行独立的查找操作
3. 正确处理TCP和其他协议类型的服务条目

修复后，服务条目会正确显示为：

• 普通TCP协议条目
• 带"i"标记的本地TCP协议条目

影响范围

该问题影响以下版本：

• 等于或高于v1.17.3
• 低于v1.18.0

临时解决方案

对于遇到此问题的用户，可以采取以下临时措施：

1. 删除并重新创建受影响的服务
2. 或者手动从cilium-agent的bpf映射中删除问题条目

总结

Cilium作为云原生网络解决方案，其负载均衡功能的稳定性至关重要。这次修复确保了在特定配置下服务流量的正确处理，特别是对于使用externalTrafficPolicy: Local和IPv6地址的用户。用户升级到包含修复的版本后，可以避免此类服务中断问题。

对于运维人员来说，理解负载均衡查找机制和协议处理逻辑，有助于更快地诊断和解决类似网络问题。同时，这也提醒我们在进行服务配置变更时，需要关注兼容性和协议处理细节。