Cilium 1.20 expande Gateway API e abre datapath eBPF para Kubernetes

Cilium 1.20 foi lançado com suporte significativamente expandido para Kubernetes Gateway API, um datapath eBPF extensível e avanços na autenticação mútua sem sidecar. A versão também facilita a adoção do dispositivo de rede netkit em frotas Kubernetes heterogêneas com diferentes versões de kernel Linux.

Gateway API ampliado de 1.4 para 1.6

Segundo os engenheiros Cilium Nico Vibert e Donia Chaiehloudj, a Gateway API na versão 1.20 funciona como uma "camada de gerenciamento de tráfego muito mais ampla". A migração de Gateway API 1.4 para 1.6 introduz ExternalAuth, ListenerSets, CORS filtering, TCPRoute e UDPRoute, consolidando autenticação HTTP e serviços não-HTTP como bancos de dados e DNS sob a mesma API Kubernetes utilizada para tráfego web e gRPC.

ExternalAuth permite que uma HTTPRoute consulte um serviço de autorização externo antes de enviar a requisição para a aplicação. Dependendo da resposta, o gateway pode encaminhar a solicitação, redirecionar o usuário para uma página de login ou rejeitá-la, passando headers de identidade para a aplicação. TCPRoute e UDPRoute eliminam a necessidade de recurrir a Services LoadBalancer ou NodePort para tráfego Layer 4 simples.

ListenerSets resolvem um problema de propriedade separado. Application teams podem adicionar listeners de seus próprios namespaces enquanto uma platform team mantém controle do Gateway compartilhado e define quais namespaces podem estendê-lo. O platform engineer Mohamed Salem BEN ATAIA afirmou que ListenerSets fecham a lacuna entre times proprietários de Routes que necessitam de mudanças centralizadas para novos hostnames ou portas, removendo "um gargalo de plataforma".

Essa direção alinha-se com trabalhos na comunidade Kubernetes. A recomendação oficial sugere Gateway API conforme organizações se afastam do controller Ingress NGINX aposentado. AWS alcançou disponibilidade geral com suporte a Gateway API em seu Load Balancer Controller, cobrindo HTTP e gRPC através de Application Load Balancer e TCP e UDP através de Network Load Balancer. A implementação Cilium diferencia-se por fornecer CNI, service networking e funções gateway no mesmo projeto.

Datapath eBPF aberto para plugins de terceiros

Cilium 1.20 abre seu datapath eBPF para plugins de terceiros, funcionando como processo separado e se comunicando via custom resource e interface gRPC. Anteriormente, provedores de nuvem com necessidades de instrumentação personalizada precisavam contribuir upstream ou manter um fork próprio.

O mecanismo de plugin está em beta e destina-se a operadores com conhecimento detalhado de internals do Cilium. A documentação alerta que um plugin pode quebrar Cilium ou enfraquecer segurança, e que mantenedores podem precisar atualizar código conforme a arquitetura interna de Cilium evoluir. Segundo Vibert e Chaiehloudj, plugins de datapath desenvolvidos pela Google tornam "Cilium menos como um appliance de rede selado e mais como um sistema operacional de rede".