eBPF 在 Kubernetes 网络中有哪些落地场景？

1. 容器网络接口（CNI）

Cilium 作为基于 eBPF 的 CNI 插件，为 Kubernetes 集群提供快速、可扩展、安全的网络层，支持 VXLAN、Geneve 等覆盖网络以及原生路由模式，可适配不同的底层网络基础设施。

2. 身份感知的网络策略

传统容器防火墙基于源 IP 与目的端口过滤，在容器频繁创建销毁的动态环境中难以维护。Cilium 采用基于身份（identity）的安全模型，将安全策略与 Kubernetes 标签关联，而非依赖易变的 IP 地址，并支持 L3/L4 以及基于 DNS、HTTP 方法、URL 路径的 L7 策略。

3. 多集群互联与服务网格

通过 Cluster Mesh，eBPF 可实现跨多个 Kubernetes 集群的安全无缝连接与全局服务发现，支持故障自动切换。在服务网格场景中，eBPF 数据面可替代传统基于代理的方案，降低转发开销并保留深度可观测能力。

4. 集群可观测

Cilium 内置的 Hubble 提供实时服务地图、带身份与标签的流量可视化、DNS 感知过滤等能力，并可与 Prometheus、Grafana 集成。在腾讯云容器服务（TKE）等托管 Kubernetes 平台上，这类 eBPF 网络方案已有产品化落地——例如 TKE 的 Dataplane V2 基于 eBPF 与 Cilium 实现东西向 Service 转发与网络策略，完全替代 kube-proxy，可作为高性能容器网络的落地选择。