Cilium 项目中 Ingress 状态清理问题的分析与解决

问题背景

在 Kubernetes 服务网格领域，Cilium 作为一款基于 eBPF 技术的高性能网络方案，其 Operator 组件负责管理集群中的网络资源。近期发现，Cilium Operator 在处理 Ingress 资源时存在一个潜在问题：它会错误地清理未被其管理的 Ingress 资源的状态字段。

问题现象

当用户使用 External-DNS 这类工具监控 Ingress 资源的 .status.loadBalancer.ingress[].ip 字段以创建 DNS 记录时，发现即使 Ingress 的 ingressClass 不是 cilium，其状态字段也会被 Cilium Operator 周期性清空。这种情况通常发生在 Operator 重启或重新加载时。

技术分析

深入代码层面分析，问题根源在于 Cilium Operator 的 ingress 控制器实现中：

1. 在 ingress_reconcile.go 文件中，无论 Ingress 是否由 Cilium 管理，Operator 都会执行状态清理操作
2. 相关辅助函数没有正确区分管理边界，对所有 Ingress 资源一视同仁
3. 清理逻辑原本设计用于处理 Ingress 控制器切换场景，但在实际操作中过于激进

影响范围

该问题影响以下版本：

• v1.15.x 系列
• v1.16.0 至 v1.16.8
• v1.17.0 之前的版本

解决方案

项目维护团队迅速响应，提出了以下解决方案：

1. 移除了对非 Cilium 管理的 Ingress 资源的状态清理逻辑
2. 明确了资源"所有权"概念，只清理明确由 Cilium 管理的资源（如带有 cilium- 前缀的 K8s Service、Endpoints 和 CiliumEnvoyConfig）
3. 通过 PR #38555 修复了这一问题

最佳实践建议

对于使用 Cilium 的用户，建议：

1. 及时升级到包含修复的版本（v1.16.8 或更高）
2. 如果暂时无法升级，可以考虑禁用 ingressController 功能
3. 对于关键业务场景，建议监控 Ingress 资源的状态变化，设置告警机制

总结

这个问题展示了 Kubernetes 生态系统中组件间交互的复杂性。作为基础设施组件，Cilium 需要更加谨慎地处理可能影响其他系统组件的操作。此次修复体现了开源社区对稳定性和兼容性的重视，也为其他网络插件的开发提供了借鉴：在处理共享资源时，必须明确管理边界，避免过度干预非自己管理的资源。