Cilium: Die Referenz-Architektur für High-Performance Networking & Security

TL;DR

Kubernetes-Networking war lange Zeit ein Flaschenhals, gebremst durch veraltete Linux-Technologien (iptables). Während AWS mit dem VPC CNI Plugin zwar eine solide Basis-Konnektivität liefert, stößt diese bei Sicherheit und Sichtbarkeit schnell an Grenzen (IP-basiert statt Identitäts-basiert). Cilium revolutioniert diesen Layer durch den Einsatz von eBPF. Es ermöglicht High-Performance-Networking, transparente Verschlüsselung und tiefgreifende Observability (Hubble), ohne den Anwendungscode ändern zu müssen – portabel über jede Cloud hinweg.

1. Das Architektur-Prinzip: eBPF statt Iptables

Traditionelle Kubernetes-Netzwerke (wie das Standard AWS CNI oder kube-proxy) basieren auf iptables. Das ist eine Technologie aus den 90ern, die für statische Server-Umgebungen gedacht war. In dynamischen Clustern mit tausenden kurzlebigen Containern werden diese Tabellen gigantisch groß, was die Latenz erhöht und die CPU belastet.

Cilium nutzt eBPF (Extended Berkeley Packet Filter). Das ist eine Technologie, die es erlaubt, Logik direkt, sicher und extrem schnell im Linux-Kernel auszuführen.

• Kernel-Level Speed: Pakete werden verarbeitet, ohne den teuren Weg durch den gesamten Netzwerk-Stack gehen zu müssen.
• Kein Kube-Proxy: Cilium kann den veralteten kube-proxy vollständig ersetzen und bietet eine weitaus effizientere Service-Resolution (LoadBalancing).

2. Kern-Feature: Identity-Aware Security (Zero Trust)

Das größte Problem klassischer Firewalls (und AWS Security Groups) ist ihre Blindheit: Sie verstehen nur IP-Adressen und Ports. In Kubernetes ändern sich IP-Adressen jedoch ständig.

Cilium abstrahiert die IP-Adresse. Es arbeitet mit Identitäten (basierend auf Kubernetes Labels).

• Intent-based Policies: Anstatt zu sagen „Erlaube IP 10.0.1.5 Zugriff auf 10.0.2.3", definieren Sie: „Erlaube dem Service Frontend Zugriff auf den Service Backend".
• Layer 7 Visibility: Cilium versteht Anwendungsprotokolle. Sie können nicht nur Port 80 erlauben, sondern spezifisch regeln: „Erlaube GET /public, aber verbiete POST /admin". Das ist mit AWS Security Groups unmöglich.

3. Deep Observability mit Hubble

Netzwerk-Probleme in Kubernetes zu debuggen, gleicht oft der Suche nach der Nadel im Heuhaufen. Cilium liefert mit Hubble ein eingebautes Teleskop. Es visualisiert den gesamten Traffic-Fluss („Service Map") in Echtzeit. Sie sehen nicht nur, dass eine Verbindung fehlschlägt, sondern warum (z.B. „Policy Denied", „DNS Error"). Dies geschieht komplett passiv via eBPF, ohne Overhead für die Applikation.

4. Betriebsmodelle im Vergleich: AWS VPC CNI vs. ayedo Managed Cilium

Hier entscheidet sich, ob Ihr Netzwerk skalierbar und transparent ist oder ob Sie in die typischen Fallen der AWS-Architektur laufen.

Szenario A: AWS VPC CNI (Die IP-Falle & Blindflug)

Das AWS VPC CNI Plugin ist der Standard auf EKS. Es weist jedem Pod eine echte VPC-IP-Adresse zu. Das klingt gut, führt aber zu massiven Problemen:

• IP Exhaustion (IP-Knappheit): In kleinen Subnetzen gehen Ihnen blitzschnell die IP-Adressen aus. Pods können nicht mehr starten („Pending"), weil das Subnetz voll ist. Sie müssen komplexe „Secondary CIDRs" konfigurieren, um das zu lösen.
• Mangelnde Sichtbarkeit: AWS VPC Flow Logs zeigen Ihnen nur Metadaten (Wer mit Wem). Sie sehen keine HTTP-Fehlercodes, keine DNS-Latenzen und keinen Layer-7-Traffic. Sie fliegen im Blindflug.
• Limitierte Security: Sie sind auf Security Groups angewiesen, die für statische VMs gebaut wurden, nicht für dynamische Microservices.

Szenario B: Cilium mit Managed Kubernetes von ayedo

Im ayedo App-Katalog ist Cilium die Standard-Komponente für CNI (Container Network Interface).

• Overlay Networking: Cilium kann (optional) ein Overlay-Netzwerk (VXLAN) nutzen. Pods erhalten interne IPs, die keine kostbaren AWS-VPC-IPs verbrauchen. Das Problem der IP-Knappheit existiert nicht mehr.
• Hubble UI: Die grafische Oberfläche zur Netzwerk-Analyse ist out-of-the-box integriert und vorkonfiguriert.
• Transparent Encryption: Mit einem Klick aktiviert ayedo die WireGuard-Verschlüsselung. Der gesamte Traffic zwischen den Nodes wird transparent verschlüsselt, ohne dass die Applikation Zertifikate verwalten muss.
• Portable Policies: Ihre Netzwerk-Regeln („NetworkPolicies") sind Standard-YAMLs. Sie funktionieren auf AWS genauso wie auf Azure oder On-Prem.

Technischer Vergleich der Betriebsmodelle

FAQ: Cilium & Network Strategy

Ist eBPF wirklich schneller oder ist das nur Hype?

Es ist messbar schneller, vor allem bei hoher Last. Da eBPF das Context-Switching zwischen User-Space und Kernel-Space minimiert und große Iptables-Listen vermeidet, sinkt die Latenz (Latency) und der Durchsatz steigt. Für High-Performance-Workloads (Datenbanken, AI, Trading) ist eBPF heute der Goldstandard.

Ersetzt Cilium ein Service Mesh wie Istio?

Teilweise. Cilium bietet mit dem „Cilium Service Mesh" viele Funktionen (L7 LoadBalancing, Ingress, mTLS), die früher ein schwergewichtiges Istio erforderten – jedoch ohne den komplexen „Sidecar-Container" pro Pod. Für reines Traffic-Management und Observability reicht Cilium oft komplett aus („Sidecar-less Service Mesh").

Hilft Cilium bei Compliance (PCI-DSS, DSGVO)?

Ja. Mit Hubble können Sie exakt nachweisen, welcher Service mit welchem anderen Service kommuniziert hat (und wer blockiert wurde). Dieser visuelle Nachweis der Netzwerk-Segmentierung ist für Audits oft Gold wert, während AWS Flow Logs mühsam ausgewertet werden müssen.

Funktioniert die WireGuard-Verschlüsselung auch über Cloud-Grenzen?

Ja. Cilium kann so konfiguriert werden (z.B. im Cluster Mesh Modus), dass Traffic sicher zwischen Clustern verschlüsselt wird – egal ob diese in unterschiedlichen AWS-Regionen oder bei verschiedenen Providern liegen. Das ermöglicht sichere Hybrid-Cloud-Szenarien ohne komplexe VPN-Gateways.

Fazit

Netzwerk ist das Nervensystem des Clusters. Wer hier auf das Standard-CNI von AWS setzt, akzeptiert blinde Flecken bei der Sicherheit und operative Risiken durch IP-Knappheit. Cilium bringt durch eBPF die Intelligenz dorthin, wo sie hingehört: in den Kernel. Mit dem ayedo Managed Stack erhalten Unternehmen Zugriff auf diese Hochtechnologie – inklusive Observability durch Hubble und Verschlüsselung durch WireGuard – ohne sich in die Tiefen von Kernel-Bytecode einarbeiten zu müssen. Das Ergebnis ist eine hochperformante, transparente und portable Netzwerk-Architektur.