Orquestación de Contenedores con Kubernetes y Cilium

Introducción a la Orquestación Moderna

La gestión de aplicaciones en contenedores ha pasado de ser una opción a una necesidad en cualquier infraestructura moderna. Kubernetes se ha consolidado como el estándar de facto para la orquestación, pero su verdadero potencial se despliega cuando se combina con tecnologías de red avanzadas como Cilium. Esta combinación no solo resuelve problemas de conectividad, sino que introduce capacidades de observabilidad y seguridad que eran impensables hace unos años.

El ecosistema de contenedores ha evolucionado rápidamente, y la orquestación ya no es solo sobre escalar pods. Se trata de gestionar redes complejas, garantizar la seguridad por defecto y ofrecer visibilidad total del tráfico. Aquí es donde Cilium entra en juego, aprovechando eBPF (Extended Berkeley Packet Filter) para ofrecer un rendimiento y una flexibilidad sin precedentes.

¿Qué es Cilium y por qué eBPF?

Cilium es un CNI (Container Network Interface) de código abierto diseñado específicamente para Kubernetes. Su principal innovación es el uso de eBPF, una tecnología del kernel de Linux que permite ejecutar programas sandboxed en el espacio del kernel sin modificar el código fuente ni cargar módulos.

Ventajas de eBPF en redes

• Rendimiento superior: Las políticas de red se aplican directamente en el kernel, evitando la sobrecarga de iptables o proxies en espacio de usuario.
• Observabilidad nativa: Captura métricas de red, latencia y flujos de trabajo sin necesidad de sidecars.
• Seguridad dinámica: Las políticas pueden reaccionar a cambios en tiempo real, como la creación de nuevos pods o servicios.

[INFO] A diferencia de soluciones tradicionales como Flannel o Calico (sin eBPF), Cilium puede manejar hasta 10 veces más reglas de red con menor latencia.

Instalación de Cilium en un Clúster Kubernetes

La instalación de Cilium es sencilla y se puede realizar en clústeres existentes o nuevos. A continuación, mostramos los pasos básicos usando Helm.

Requisitos previos

• Clúster Kubernetes (versión 1.16 o superior).
• Helm 3 instalado.
• Kernel Linux con soporte para eBPF (versión 5.10 o superior recomendada).

Instalación con Helm

helm repo add cilium https://helm.cilium.io/
helm repo update
helm install cilium cilium/cilium --namespace kube-system

Para entornos de producción, se recomienda configurar parámetros como el modo de enrutamiento (direct routing vs. tunneling) y la integración con servicios como MetalLB.

Arquitectura de Redes con Cilium

Cilium implementa un modelo de red basado en identidades, no en direcciones IP. Cada pod recibe una identidad única basada en sus labels de Kubernetes. Esto permite definir políticas de red que son independientes de la ubicación física del pod.

Componentes clave

• Cilium Agent: Se ejecuta en cada nodo y aplica las políticas eBPF.
• Cilium Operator: Gestiona tareas globales como la asignación de identidades.
• Hubble: Capa de observabilidad que captura y visualiza el tráfico de red.

Modos de enrutamiento

Modo	Descripción	Caso de uso
Direct Routing	Los paquetes se enrutan directamente entre nodos	Clústeres con red plana (AWS, GCP)
Tunneling (VXLAN)	Los paquetes se encapsulan	Redes superpuestas en entornos on-premise
Native Routing	Usa la tabla de enrutamiento del nodo	Integración con redes existentes

Políticas de Red Avanzadas

Una de las fortalezas de Cilium es la capacidad de definir políticas de red que van más allá del modelo tradicional de Kubernetes (NetworkPolicies). Mientras que las NetworkPolicies estándar solo permiten reglas basadas en IP y puertos, Cilium permite:

• Políticas basadas en identidad: Usar labels de Kubernetes para permitir o denegar tráfico.
• Filtrado por protocolo: HTTP, gRPC, Kafka, etc.
• Reglas de capa 7: Inspeccionar el contenido de las solicitudes (ej. path de una API).

Ejemplo de política CiliumNetworkPolicy

apiVersion: cilium.io/v2
kind: CiliumNetworkPolicy
metadata:
  name: allow-frontend-to-backend
spec:
  endpointSelector:
    matchLabels:
      app: backend
  ingress:
  - fromEndpoints:
    - matchLabels:
        app: frontend
    toPorts:
    - ports:
      - port: "8080"
        protocol: TCP
      rules:
        http:
        - method: "GET"
          path: "/api/v1/users"

[WARNING] Las políticas de Cilium no reemplazan las NetworkPolicies nativas, sino que se superponen. Asegúrate de no crear conflictos.

Observabilidad con Hubble

Hubble es el componente de observabilidad de Cilium que proporciona visibilidad en tiempo real del tráfico de red. Se integra con Prometheus, Grafana y herramientas de logging.

Comandos básicos de Hubble

# Ver flujos de red en vivo
hubble observe --namespace default

# Filtrar por pod específico
hubble observe --pod frontend-xyz

# Mostrar métricas de rendimiento
hubble metrics

Integración con Prometheus

Cilium expone métricas de forma nativa. Para habilitar la recolección:

# values.yaml de Helm
prometheus:
  enabled: true
  serviceMonitor:
    enabled: true

Seguridad Mejorada con Cilium

Cilium ofrece capacidades de seguridad que van más allá del control de tráfico. Incluye:

• Criptografía automática: Cifrado de tráfico entre nodos usando WireGuard o IPsec.
• Prevención de fuga de datos: Bloqueo de tráfico saliente no autorizado.
• Aislamiento de cargas de trabajo: Políticas que impiden que un contenedor comprometido acceda a otros.

Ejemplo de política de cifrado

helm upgrade cilium cilium/cilium \
  --namespace kube-system \
  --set encryption.enabled=true \
  --set encryption.type=wireguard

[TIP] Para entornos multi-tenant, combina Cilium con Service Mesh (Istio) para una seguridad de capa 7 aún más granular.

Rendimiento y Escalabilidad

Cilium está diseñado para manejar clústeres masivos. Algunos benchmarks muestran:

• Latencia: <5μs por paquete en modo eBPF.
• Throughput: Hasta 40 Gbps por nodo.
• Escalabilidad: Políticas aplicadas a miles de pods sin degradación.

Comparativa de rendimiento

Solución	Latencia (p50)	Throughput (Gbps)	Políticas por nodo
iptables	50μs	10	500
Cilium (eBPF)	5μs	40	5000+

Integración con Servicios Externos

Cilium no solo gestiona el tráfico interno del clúster. También se integra con:

• MetalLB: Para balanceadores de carga externos.
• Ingress Controllers: Soporte nativo para NGINX y Envoy.
• Service Mesh: Compatible con Istio y Linkerd.

Configuración de MetalLB + Cilium

# Instalar MetalLB
kubectl apply -f https://raw.githubusercontent.com/metallb/metallb/v0.13.10/config/manifests/metallb-native.yaml

# Configurar pool de IPs
apiVersion: metallb.io/v1beta1
kind: IPAddressPool
metadata:
  name: production-pool
  namespace: metallb-system
spec:
  addresses:
  - 192.168.1.100-192.168.1.200

Resolución de Problemas Comunes

Diagnóstico con Cilium CLI

# Ver estado del agente
cilium status

# Listar endpoints
cilium endpoint list

# Ver políticas aplicadas
cilium policy get

Problemas frecuentes

1. Pods sin conectividad: Verificar que el agente Cilium esté corriendo en todos los nodos.
2. Políticas no aplicadas: Revisar que los labels coincidan exactamente.
3. Alta latencia: Asegurar que el kernel soporte eBPF y que no haya conflictos con otros CNIs.

Casos de Uso Reales

Fintech: Cumplimiento normativo

Una empresa de pagos necesitaba garantizar que solo ciertos microservicios accedieran a datos financieros. Con Cilium, implementaron políticas de capa 7 que inspeccionan las rutas de API y bloquean cualquier intento de acceso no autorizado.

E-commerce: Escalabilidad dinámica

Durante el Black Friday, un clúster de 500 nodos escaló a 10,000 pods en minutos. Cilium mantuvo la latencia por debajo de 10μs mientras aplicaba 2000 políticas de red.

Conclusión y Próximos Pasos

La combinación de Kubernetes y Cilium representa el estado del arte en orquestación de contenedores. La potencia de eBPF permite redes ultrarrápidas, seguridad granular y observabilidad sin precedentes. Si aún no has migrado a Cilium, considera comenzar con un clúster de prueba y evaluar sus beneficios en rendimiento y seguridad.

[INFO] Para profundizar, consulta la documentación oficial de Cilium (cilium.io) y los workshops de eBPF en ebpf.io.

La orquestación moderna no es solo sobre escalar, sino sobre hacerlo de forma inteligente, segura y observable. Con Cilium, tienes todas las herramientas para lograrlo.