Cilium eBPF 网络：基于 XDP 的 DDoS 清洗与 L4 负载均衡

发表于：2025-10-03|最后更新：2025-10-05|分类：云原生安全|阅读：1398 次

Cilium 用 eBPF 完全替代 kube-proxy 的 iptables 规则，在 XDP 层实现 L4 负载均衡与 SYN Flood 清洗。由于丢包发生在驱动收包阶段，未分配 sk_buff，单节点可抵御数千万 PPS 的攻击流量。

一、Cilium XDP 加速与 DDoS 防护配置

yaml

# Cilium Helm values 片段
kubeProxyReplacement: true
loadBalancer:
  acceleration: native          # 启用 XDP 原生负载均衡加速
  mode: dsr                     # Direct Server Return，回包不经 LB
bpf:
  masquerade: true
  preallocateMaps: true
bandwidthManager:
  enabled: true

bash

# 查看 XDP 程序挂载与丢包统计
cilium status --verbose
bpftool prog show type xdp
ethtool -S eth0 | grep -E "xdp_|drop"