<!-- AI_TASK_START: AI标题翻译 -->
[新产品/新功能] Azure Container Networking 中的 eBPF 最新动态
<!-- AI_TASK_END: AI标题翻译 -->
<!-- AI_TASK_START: AI竞争分析 -->
# 产品功能分析
## 新功能/新产品概述
Azure Container Networking Interface (CNI) powered by Cilium 带来了基于 **eBPF** 技术的多项创新更新,旨在提升 Azure Kubernetes Service (AKS) 集群的性能、安全性和可扩展性。该产品针对容器网络管理进行优化,核心目标是解决大规模集群中的控制平面压力、网络路由复杂性和安全合规需求。适用于运行 AKS 的企业用户,特别是那些处理高负载容器化工作负载的场景,如云原生应用开发和多云环境。市场定位聚焦于提供高效、开源协作的网络解决方案,与传统 CNI 相比,强调 **eBPF** 的低开销和高性能特性。
## 关键客户价值
- **性能提升**:通过 CiliumEndpointSlice 功能,实现了控制平面负载减少,导致平均 API 服务器响应时间降低 _50%_,Pod 启动延迟降低 _60%_,以及集群内网络延迟降低 _80%_。这些改进使应用部署更快、更高效,尤其在大型集群中,显著提升了用户体验,但可能在极端动态环境中仍需监控潜在的资源竞争。
- **部署灵活性**:支持 IPv4/IPv6 双栈网络和 Node Subnet IPAM 模式,简化了路由管理和政策配置,适用于混合网络环境。该优势使客户更容易处理多子网场景,相比传统 CNI,减少了手动配置复杂度,提供无缝适应性。
- **安全增强**:引入 Layer 7 网络策略,使用 Envoy 代理实现基于应用层协议(如 HTTP 和 gRPC)的细粒度控制,增强了合规性和流量管理。即将到来的 WireGuard 加密功能将进一步确保流量加密,支持监管要求。该功能的优势在于深度安全防护,但作为预览版,可能面临初始配置复杂性的挑战。
- **整体业务差异**:相较于竞品如其他云提供商的 CNI,这些更新突出了开源协作和 **eBPF** 的集成,降低了运维成本并提高了可扩展性,在突发流量场景中表现突出,但需注意大规模部署时的兼容性问题。
## 关键技术洞察
- **技术独特性**:CiliumEndpointSlice 通过批量处理 **CiliumEndpoints** CRDs,减少了控制平面更新频率,基于 **eBPF** 的数据平面实现高效网络管理。该机制利用 **eBPF** 程序在内核级别钩入网络栈,避免了传统用户空间处理的开销,从而提升了性能。
- **创新点与影响**:引入双栈支持和 Node Subnet 模式,实现了 IPv4/IPv6 无缝切换和简化 IP 分配,显著提高了网络策略的可扩展性和可用性。例如,Envoy 代理在 Layer 7 策略中提供应用层可见性,结合 **eBPF** 的低延迟特性,优化了安全性和资源利用率。这些创新减少了高并发场景下的瓶颈,但可能在多租户环境中面临策略冲突的风险,需要通过 ACNS 安全代理进行优化。
- **挑战与解决方式**:虽然 **eBPF** 提供了高性能,但实现 Layer 7 策略时依赖 Envoy,可能增加初始学习曲线;WireGuard 加密即将预览,能解决流量加密需求,但需关注密钥管理复杂度。总体上,这些技术在 AKS 中的集成增强了安全性,但用户应评估集群规模以避免潜在的性能退化。
## 其他信息
- 这些功能已在 AKS 中部分发布(如 Cilium 1.17 及以上版本默认可用),用户可通过 Azure CLI 命令快速部署。未来发展包括更多 **eBPF** 相关增强,建议关注 AKS 公共路线图以获取更新。
<!-- AI_TASK_END: AI竞争分析 -->
<!-- AI_TASK_START: AI全文翻译 -->
# Azure Container Networking 中的 eBPF 世界新动态!
**原始链接:** [https://techcommunity.microsoft.com/blog/azurenetworkingblog/whats-new-in-the-world-of-ebpf-from-azure-container-networking/4410254](https://techcommunity.microsoft.com/blog/azurenetworkingblog/whats-new-in-the-world-of-ebpf-from-azure-container-networking/4410254)
**发布时间:** 2025-05-02
**厂商:** AZURE
**类型:** TECH-BLOG
---

Azure Networking Blog
# Azure Container Networking 中的 eBPF 世界新动态!
2025 年 5 月 2 日
## 发现 Azure CNI 基于 Cilium 的最新安全性和性能改进
Azure Container Networking Interface (CNI) 持续演进,现在借助 Cilium 的创新能力得到增强。Azure CNI Powered by Cilium (ACPC) 利用 Cilium 的 eBPF (extended Berkeley Packet Filter) 技术,实现网络策略强制执行、深度可观测性和改进的服务路由。以下是深入探讨这些最新功能,这些功能让 Azure Kubernetes Service (AKS) 集群的管理更高效、可扩展且安全。
### 性能改进:Cilium Endpoint Slices
最近更新中的亮点功能是引入 CiliumEndpointSlice。此功能显著提升了 AKS 集群中 Cilium 数据平面的性能和可扩展性。
之前,Cilium 使用 Custom Resource Definitions (CRDs) 称为 CiliumEndpoints 来管理 Pod。每个 Pod 都关联一个 CiliumEndpoint,其中包含 Pod 的状态和属性信息。然而,这种方法会给控制平面带来巨大压力,尤其是在较大集群中。
为了缓解此负载,CiliumEndpointSlice 会批量处理 CiliumEndpoints 及其更新,从而减少传播到控制平面的更新次数。我们的性能测试显示出显著改进:
- 平均 API 服务器响应时间:延迟降低高达 50%,意味着更快的查询处理。
- Pod 启动延迟:降低高达 60%,允许更快地部署和扩展。
- 集群内网络延迟:降低高达 80%,转化为更好的应用程序性能。
请注意,此功能在 AKS 集群中已正式可用,默认使用 Cilium 1.17 及更高版本,且无需额外配置更改!了解更多关于 CiliumEndpointSlices 与 Azure CNI by Cilium 带来的改进 - [High-Scale Kubernetes Networking with Azure CNI Powered by Cilium | Microsoft Community Hub](<https://techcommunity.microsoft.com/blog/AzureNetworkingBlog/high-scale-kubernetes-networking-with-azure-cni-powered-by-cilium/4407234>)。
### 部署灵活性:Cilium 网络策略的双栈支持
在 IPv4/IPv6 双栈网络上运行的 Kubernetes 集群,使工作负载能够原生访问 IPv4 和 IPv6 端点,而不会带来额外复杂性或性能问题。之前,我们已在预览模式下启用了双栈网络在 AKS 集群(从 AKS 1.29 开始)上的使用,现在我们很高兴宣布此功能已正式可用!通过启用 IPv4 和 IPv6 寻址,您可以无缝管理生产 AKS 集群中的混合环境,适应各种网络配置。更重要的是,Azure CNI 的 Cilium 网络策略中的双栈支持扩展了 AKS 集群在这些复杂环境中的安全优势。例如,您可以使用 eBPF 数据平面启用双栈 AKS 集群,如下所示:
az aks create \
--location <region> \
--resource-group <resourceGroupName> \
--name <clusterName> \
--network-plugin azure \
--network-plugin-mode overlay \
--network-dataplane cilium \
--ip-families ipv4,ipv6 \
--generate-ssh-keys
了解更多关于 Azure CNI 的网络策略 - [Configure Azure CNI Powered by Cilium in Azure Kubernetes Service (AKS) - Azure Kubernetes Service | Microsoft Learn](<https://learn.microsoft.com/en-us/azure/aks/azure-cni-powered-by-cilium>)。
### 易用性:Cilium 的节点子网模式
Azure CNI 现在支持使用 Cilium 数据平面的节点子网 IPAM 模式。在节点子网模式中,Pod 的 IP 地址从节点自身的子网中分配,这简化了路由和策略管理。此模式特别适合较小集群,在这些集群中管理多个子网较为繁琐。使用此模式的 AKS 集群还能获得改进的网络可观测性、Cilium 网络策略和 FQDN 过滤等优势。更值得注意的是,通过此功能,我们现在支持 AKS 集群上 eBPF 数据平面的所有 IPAM 配置选项。您可以创建使用节点子网 IPAM 模式和 eBPF 数据平面的 AKS 集群,如下所示:
az aks create \
--name <clusterName> \
--resource-group <resourceGroupName> \
--location <location> \
--network-plugin azure \
--network-dataplane cilium \
--generate-ssh-keys
了解更多关于节点子网 - [Configure Azure CNI Powered by Cilium in Azure Kubernetes Service (AKS) - Azure Kubernetes Service | Microsoft Learn](<https://learn.microsoft.com/en-us/azure/aks/azure-cni-powered-by-cilium#option-3-assign-ip-addresses-from-the-node-subnet-preview>)。
### 深度防御:Cilium Layer 7 策略
Azure CNI by Cilium 将其全面的 Layer4 网络策略能力扩展到 Layer7,提供对应用程序流量的粒度控制。此功能使用户能够基于应用程序级协议和元数据定义安全策略,从而增加强大的安全和合规管理层。
Layer7 策略使用 Envoy(一个开源服务代理)实现,Envoy 是作为 Advanced Container Networking Services (ACNS) 安全代理与 Cilium 代理协同工作的部分。Envoy 处理服务间的流量,并提供必要的应用程序层可见性和控制。策略可以基于 HTTP 和 gRPC 方法、路径、头部以及其他应用程序特定属性强制执行。此外,Cilium 网络策略支持基于 Kafka 的工作流,从而增强安全性和流量管理。
此功能目前处于公开预览模式,您可以在这里了解更多入门体验 - [Introducing Layer 7 Network Policies with Advanced Container Networking Services for AKS Clusters! | Microsoft Community Hub](<https://techcommunity.microsoft.com/blog/azurenetworkingblog/introducing-layer-7-network-policies-with-advanced-container-networking-services/4409782>)。
### 即将推出:Wireguard 的透明加密
通过利用 Cilium 的 Wireguard,客户可以实现合规性,确保所有网络流量(无论是基于 HTTP 的还是非 HTTP 的)均被加密。用户可以使用 Cilium 的开源解决方案在 Kubernetes 环境中启用节点间透明加密。启用 Wireguard 后,每个集群节点的 Cilium 代理将与其他已知节点建立安全的 Wireguard 隧道,以加密 Cilium 端点之间的流量。此功能即将进入公开预览,并将作为 ACNS 的一部分启用。敬请期待更多细节。
### 结语
这些 Azure CNI Powered by Cilium 的新功能突显了我们提升 AKS 环境默认网络性能和安全的承诺,同时与开源社区合作。从 CiliumEndpointSlice 的显著性能提升,到双栈支持的适应性,以及 Layer7 策略和 Wireguard 基于加密的安全高级功能,这些创新确保您的 AKS 集群不仅适合当前需求,还为未来做好准备。此外,别忘了探索 eBPF 基于的多云环境可观测性世界!查看我们的最新文章 - [Retina: Bridging Kubernetes Observability and eBPF Across the Clouds](<https://techcommunity.microsoft.com/blog/linuxandopensourceblog/ebpf-powered-observability-beyond-azure-a-multi-cloud-perspective-with-retina/4403361>)。
为什么还要等?现在就试试吧!
持续关注 [AKS 公共路线图](<https://aka.ms/aks/roadmap>) 以获取更多激动人心的开发!如需更多信息,请访问:
- 关于 Azure CNI Powered by Cilium 的更多信息,请访问 - [Configure Azure CNI Powered by Cilium in AKS](<https://learn.microsoft.com/en-us/azure/aks/azure-cni-powered-by-cilium>)。
- 关于 ACNS 的更多信息,请访问 [Advanced Container Networking Services (ACNS) for AKS | Microsoft Learn](<https://learn.microsoft.com/en-us/azure/aks/advanced-container-networking-services-overview?tabs=cilium>)。
更新于 2025 年 5 月 2 日
版本 2.0
<!-- AI_TASK_END: AI全文翻译 -->