SHOPLINE x 《 KubeSummit 2025 》雲端原生技術年度盛會：揭秘 Cilium 的封包處理核心原理

2025 年 11 月 05 日更新

SHOPLINE 很高興再次參加最具代表性的雲端原生技術盛會《 KubeSummit 2025 》！今年由 Cloud Engineer — Shiun Chiu 投稿成功，以「從零打造 eBPF CNI Plugin：揭秘 Cilium 封包處理核心原理」為主題，分享 Cilium 底層原理與實戰建議，並在每個段落穿插 Live Demo。Shiun 的演講不僅獲得現場聽眾熱烈迴響，也吸引許多與會者在演講後交流技術心得。讓我們一起回顧這場充滿亮點的技術盛會吧！

文章目錄

演講精彩回顧
攤位招募與交流
積極打造技術共學社群

演講精彩回顧

本次活動一大亮點是由 SHOPLINE Cloud Engineer — Shiun Chiu 帶來的演講！Shiun 的靈感來自 Liz Rice 在 2018 年 GOTO Conference 的經典演講「Containers From Scratch」。在那場演講中，Liz Rice 透過 Golang 從零實作出一個容器，深入剖析其底層原理。

而本次 Shiun 的分享，則將這樣的精神延伸至 Cilium 領域——以 From Scratch 的方式打造一個 Cilium Prototype，帶領大家從底層角度「揭秘 Cilium 的封包處理核心原理」。

整場演講分成了三大章節，並在每個章節的結尾進行 Live Demo：

第一章、動手寫基礎 CNI Plugin
- 本演講從一個沒有安裝 CNI Plugin 的 Kubernetes Cluster 切入，此時 Node 狀態為 NotReady 且 Pod 建立後會卡在 Pending 狀態
- Shiun 講解了 CNI 的角色與運作原理，並現場 Demo 如何撰寫一個「能讓 Pod 具備網路能力」、「Pods 彼此可以互相通信」的 CNI Plugin
第二章、利用 eBPF 賦予可程式化的能力
- Shiun 講解了如何開發 eBPF Program，從撰寫 C 程式碼、編譯、Load、Attach 的過程是如何進行到如何與 CNI Plugin 整合，讓 Pod 的網路被賦予「eBPF 的能力」
- Shiun 於 TC Ingress hook point 上 Attach BPF Program，現場 Demo 了封包經過 eBPF Program 時如何攔截與觀察封包的 IP 位址，初步揭秘「即時可視化」的原理
第三章、在 eBPF 實現 Identity-based 封包決策
- Shiun 講解了 Cilium 的基本架構，並解釋 Cilium Agent 的職責
- 以傳統 iptables 為例，對比 Cilium 的 Identity-based Policy，讓聽眾理解為何這種設計在效能與可擴展性上都更具優勢
- Shiun 實作了一個名為 ebpf-agent 的元件，模仿 Cilium Agent 的邏輯，負責監聽 K8s 資源並維護 BPF Maps, BPF Objects
- 在「第二章、利用 eBPF 賦予可程式化的能力」的基礎上，修改業務邏輯實現 Identity-based Policy
- Shiun 現場 Demo 了「實現 Identity-based 封包決策」的 Cilium Prototype，並展示如何用 bpftool 來排查 BPF 的 issues

演講的結尾，Shiun 強調這場分享是用比較底層的視角去看 Cilium，但實際上 Cilium 也提供了其他更高階的工具可以便於排查，例如：可以善用這些工具去知道此 Endpoint 目前是否有被套到 NetworkPolicy。在真實戰場中，可能會遇到封包抓不到、封包決策不如預期，因此深入底層認識 Cilium 核心原理能讓我們遇到狀況時排查得更順利。

繼續閱讀文章

攤位招募與交流

除了精彩的演講外，這次的 Kubernetes Summit 2025 還有多位 SHOPLINErs 參與，現場與各方技術好手深入交流。HR team 分享了 SHOPLINE 產品的多元性，吸引不少與會者表示對電商產業感興趣。同時，Cloud Team 在攤位上與參與者討論高流量系統處理、維運的心得，互動熱烈、收穫滿滿。

雙 11 電商高峰即將來襲，如果你也想挑戰高流量技術，歡迎加入 SHOPLINE！我們正在招募 Cloud Engineer、Frontend Engineer、Data Engineer、Product Operations、Product Manager 等職位，一起打造創新的電商產品。