Cilium v1.16.7 版本深度解析：网络策略与性能优化

Cilium 是一个基于 eBPF 技术的高性能 Kubernetes CNI 网络插件，它提供了强大的网络策略、负载均衡和可观测性能力。最新发布的 v1.16.7 版本带来了一系列重要的改进和修复，特别是在网络策略验证、性能优化和稳定性方面。

网络策略增强

本次更新在网络策略方面有两个显著改进：

1. 策略验证机制增强：新增了对 CiliumNetworkPolicy 和 CiliumClusterwideNetworkPolicy 中 IngressDeny 和 EgressDeny 规则的验证功能。这确保了策略定义的正确性，防止因配置错误导致的意外网络行为。

2. SNI 策略示例文档：新增了 SNI(Server Name Indication)策略的配置示例，帮助用户更好地理解和配置基于 TLS 主机名的网络策略控制。

核心功能稳定性改进

v1.16.7 版本修复了多个关键稳定性问题：

1. 端点管理优化：

   • 修复了端点可能永远卡在等待再生状态的问题，避免由此导致的流量异常
   • 改进了端点再生失败处理机制，确保多次失败后仍能正确处理
   • 修复了 CES(Clusterwide Endpoint Synchronization)中可能导致 IPCache 注入陈旧端点信息的问题

2. 网络连接处理：

   • 修复了当 Pod 同时应用广泛范围的 Egress Gateway 策略时无法访问 Nodeport 服务的问题
   • 改进了 egress 伪装接口的处理逻辑，修复了多接口配置下的问题
   • 恢复了 --egress-masquerade-interfaces 标志的原始语义，确保向后兼容性

3. 系统兼容性：

   • 增加了对不支持 CONFIG_XFRM 的 Linux 内核的兼容性处理
   • 修复了 socket-lb 中的空指针解引用问题

性能优化与可观测性

1. Envoy 代理改进：

   • 增加了可配置的访问日志缓冲区大小，优化了日志处理性能
   • 标记已恢复端口为已配置状态，避免不必要的处理

2. 连接跟踪优化：

   • 在 CI 环境中不再限制连接跟踪扫描超时，提高测试准确性

文档与用户体验改进

1. 安装文档更新：

   • 澄清了 Talos 系统中 hostLegacyRouting 的限制
   • 移除了 AKS BYOCNI 安装中的 nodeinit 步骤
   • 更新了 eBPF 主机路由和 netfilter 相关文档

2. 概念澄清：

   • 完善了身份相关标签(Identity-Relevant Labels)的描述
   • 移除了 KPR(Kernel Packet Routing)+IPsec 的过时限制说明

构建与依赖更新

1. 基础组件升级：

   • 将 Go 版本更新至 1.23.6
   • 更新了 Envoy 版本至 1.31.x 系列

2. CI/CD 改进：

   • 优化了测试镜像的拉取策略，避免镜像仓库的速率限制
   • 改进了外部工作负载测试中的 DNS 服务器获取逻辑

总结

Cilium v1.16.7 是一个以稳定性和性能优化为主的版本，解决了多个关键场景下的网络连接问题，特别是改进了端点管理和策略处理的可靠性。对于生产环境用户，特别是那些使用复杂网络策略或运行在大规模集群中的用户，升级到这个版本将获得更稳定的网络体验。

版本中的文档改进也使得新用户能够更容易地理解和配置 Cilium 的高级功能，如 SNI 策略和 egress 伪装等。对于运维团队来说，改进的可观测性和诊断能力将有助于更快地定位和解决网络问题。