Модуль не включен по умолчанию в каком-либо наборе модулей.
Чтобы настроить модуль, используйте custom resource ModuleConfig
с именем cni-cilium
(подробнее о настройке Deckhouse…).
Пример ресурса ModuleConfig/cni-cilium
для настройки модуля:
1apiVersion: deckhouse.io/v1alpha1
2kind: ModuleConfig
3metadata:
4 name: cni-cilium
5spec:
6 version: 1
7 enabled: true
8 settings: # <-- Параметры модуля из раздела "Параметры" ниже.
Параметры
Версия схемы: 1
- строка
Режим работы балансировщика eBPF:
SNAT
- траффик от клиента до пода (и обратно) проходит через NAT, соответственно теряется адрес отправителя.DSR
- траффик от клиента до пода проходит с сохранением адреса отправителя, а обратно - согласно правилам роутинга (минуя балансировщик). Этот режим экономит сетевой траффик, уменьшает задержки, но работает только для TCP траффика.Hybrid
- TCP траффик обрабатывается в режиме DSR, а UDP - в режиме SNAT.
По умолчанию:
"Hybrid"
Допустимые значения:
SNAT
,Hybrid
,DSR
- массив строк
Cilium создает идентификаторы безопасности основываясь на лейблах сущностей k8s, чем больше лейблов участвует в этом процессе - тем более детализированно можно настроить доступы. Но в кластерах больших объёмов излишняя детализация может создать большую нагрузку, и при помощи опции labelsRegex можно более явно указать - какие лейблы будут использоваться для политик безопасности, а какими следует пренебречь. Подробнее об уменьшении количества создаваемых identity можно прочитать в документации
Каждый лейбл должен задаваться RegExp-выражением в формате YAML quoted string с экранированием спецсимволов.
Пример:
1labelsRegex: 2- k8s:!app\.kubernetes\.io 3- k8s:io\.cilium\.k8s\.policy
Настройки запросов (requests) и ограничений (limits) использования CPU и памяти подами агента cilium.
Примеры:
1resourcesManagement: 2 mode: VPA 3 vpa: 4 mode: Auto 5 cpu: 6 min: 50m 7 max: 2 8 limitRatio: 1.5 9 memory: 10 min: 256Mi 11 max: 2Gi 12 limitRatio: 1.5
1resourcesManagement: 2 mode: Static 3 static: 4 requests: 5 cpu: 55m 6 memory: 256Mi 7 limits: 8 cpu: 2 9 memory: 2Gi
- число
Коэффициент расчета ограничений использования CPU относительно запросов (limits/requests).
Применяется для расчета начальных ограничений использования CPU для пода (CPU limits).
Если параметр указан, то VPA, при пересчете запросов CPU (CPU requests) будет пересчитывать ограничения использования CPU (CPU limits) сохраняя указанное соотношение ограничений к запросам (limits/requests).
- число
Коэффициент расчета ограничений использования памяти относительно запросов (limits/requests).
Применяется для расчета начальных ограничений использования памяти для пода (memory limits).
Если параметр указан, то VPA, при пересчете запросов памяти (memory requests) будет пересчитывать ограничения использования памяти (memory limits) сохраняя указанное соотношение ограничений к запросам (limits/requests).
- булевый
Для сервисов с типом
loadBalancer
включает проверку source IP на его соответствие loadBalancer.sourceRanges. Проверка не производится, если доступ производится изнутри кластера или параметрsourceRanges
пуст/не указан. Некоторые облачные провайдеры в своих реализациях loadBalancer поддерживают фильтрацию входящего траффика на основе параметраsourceRanges
, в таком случае документация по cilium рекомендует отключать проверкуsvcSourceRangeCheck
.Не включайте, если перед сервисами есть другой балансировщик или какие-либо виды SNAT.
По умолчанию:
false
- строка
Режим работы туннеля.
Внимание! После изменения параметра необходимо перезагрузить все узлы, иначе могут быть проблемы с доступностью подов.
Внимание! Режим VXLAN не совместим со следующими режимами bpfLBMode: Hybrid, DSR. Если tunnelMode настроен на VXLAN, то bpfLBMode будет переопределён на SNAT автоматически.
По умолчанию:
"Disabled"
Допустимые значения:
Disabled
,VXLAN