클러스터 네트워크의 정체성을 IP에서 분리해 보안과 가시성을 동시에 확보하는 방법
클러스터 안에서 트래픽이 어디서 와서 어디로 가는지, 그리고 왜 차단되었는지를 한눈에 파악할 수 있는 장면을 상상해 보세요. Cilium은 eBPF 기반 데이터 플레인으로 컨테이너 네트워크를 재구성해 애플리케이션 레벨 정책 적용과 실시간 모니터링을 가능하게 합니다. Kubernetes 클러스터의 네트워크, 보안, 관측 문제를 하나의 솔루션으로 통합 관리할 수 있게 됩니다.
eBPF로 재구성한 데이터 플레인과 로드 밸런싱
Cilium은 Linux 커널의 eBPF 기술을 활용해 네트워크 I/O, 소켓, 트레이스포인트에 동적으로 로직을 삽입합니다. 이를 통해 패킷 처리 과정에서 보안, 네트워킹, 가시성 로직을 효율적으로 실행합니다. 기존 kube-proxy를 대체하여 eBPF 해시 테이블을 사용해 대규모 서비스 밀도를 지원하며, 소켓 레벨에서 서비스 연결을 재작성함으로써 패킷당 NAT 오버헤드를 제거합니다. 동서 트래픽은 소켓 레벨에서, 남북 트래픽은 XDP를 활용해 고처리량 시나리오에 최적화됩니다.
IP 주소에 의존하지 않는 정체성 기반 보안
전통적인 컨테이너 방화벽은 IP 주소와 포트에 의존하지만, Cilium은 애플리케이션 컨테이너 그룹에 보안 정체성을 부여합니다. 이 정체성은 네트워크 패킷에 연관되어 수신 노드에서 검증되며, IP 주소의 변동에 영향을 받지 않습니다. L3/L4 정책은 라벨, 프로토콜, 포트로 트래픽을 제한하고, DNS 기반 정책은 FQDN이나 와일드카드 도메인을 허용하거나 거부합니다. L7 정책은 HTTP 메서드, URL 경로, gRPC 호출, 헤더 존재 여부까지 필터링할 수 있어 세밀한 접근 제어가 가능합니다.
멀티 클러스터 연결과 서비스 메시 기능
Cluster Mesh는 여러 Kubernetes 클러스터 간에 안전한 연결을 제공하여 하이브리드 또는 멀티 클라우드 환경에서 일관된 보안 경험을 유지합니다. 전역 서비스 디스커버리를 통해 다른 클러스터의 서비스를 로컬처럼 발견하고 연결할 수 있으며, 장애 발생 시 다른 클러스터의 백엔드로 자동 전환됩니다. 서비스 메시 기능은 IPsec, WireGuard, ztunnel을 이용한 투명 암호화를 지원하며, Kubernetes Gateway API와 깊이 통합되어 인그레스, 트래픽 분할, 라우팅을 선언적으로 관리합니다.
Hubble을 통한 관측 가능성과 문제 해결
Hubble은 실시간 서비스 맵, 정체성과 라벨 메타데이터가 포함된 플로우 가시성, DNS 인식 필터링을 제공하는 통합 관측 플랫폼입니다. Prometheus, Grafana 등 모니터링 시스템과 통합되어 메트릭과 알림을 처리합니다. 트래픽이 차단된 이유를 정책 위반, 포트 문제, DNS 조회 실패 등 구체적인 원인과 함께 제공하여 운영자가 문제를 빠르게 진단할 수 있게 합니다.
배포 전 확인해야 할 사항
Cilium은 AMD64와 AArch64 아키텍처를 지원하며, 최근 3개 마이너 버전에 대한 안정 릴리스를 유지합니다. v1.13.0부터 모든 이미지에 SPDX 형식의 SBOM이 포함됩니다. 개발 및 테스트용 스냅샷과 RC 이미지는 프로덕션 사용이 불가하므로 주의해야 합니다. Apache License 2.0과 GPL v2/BSD 2-Clause 이중 라이선스가 적용되며, 기존 인프라와의 호환성을 위해 오버레이, 네이티브 라우팅, 유연한 라우팅 옵션 중 환경에 맞는 모드를 선택해야 합니다.
