#cilium

Cilium 1.20: Gateway API ExternalAuth, TCPRoute/UDPRoute, ENI IPAM for IPv6, and more!

Cilium 1.20 bổ sung nhiều tính năng mới cho Gateway API, bao gồm ExternalAuth, TCPRoute/UDPRoute, cùng hỗ trợ IPv6 cho ENI IPAM và cải tiến bảo mật.

Nếu bạn đang xây dựng giải pháp mạng lưới cloud-native hoặc cần tối ưu hóa kết nối mạng trong Kubernetes, Cilium 1.20 sẽ giúp bạn khám phá các tính năng mới như Gateway API ExternalAuth, hỗ trợ TCP/UDPRoute và ENI IPAM cho IPv6, giúp nâng cao hiệu suất và bảo mật cho ứng dụng của bạn.

When Kubeflow meets Cilium: Debugging 60% idle GPUs in Kubernetes

Khi Kubeflow kết hợp Cilium, việc debug 60% GPU không hoạt động trên Kubernetes trở nên khả thi nhờ quan sát mạng lưới chi tiết.

Lập trình viên cần đọc bài này để hiểu cách tối ưu hóa hiệu suất GPU trong Kubernetes bằng cách kết hợp Kubeflow với Cilium, giúp khắc phục tình trạng lãng phí tài nguyên và cải thiện hiệu suất đào tạo mô hình AI hiệu quả.

Isovalent Networking for Kubernetes 1.19: BGP Route Import, Policy Tiers, and Timescape enhancements

Isovalent Networking cho Kubernetes 1.19 bổ sung các tính năng quản trị ngày thứ hai như chính sách kiểm soát nhập BGP (default-deny + allowlists), hỗ trợ quảng bá địa chỉ giao diện qua BGP, và nâng cấp Egress Gateway HA lên ổn định. Tính năng điều khiển mạng bổ sung hỗ trợ ClusterNetworkPolicy, phân cấp chính sách (Admin/Normal/Baseline) cùng chế độ offline FQDN HA. Hubble Timescape thay thế Hubble UI Enterprise với bộ lọc CEL, chỉnh sửa chính sách nâng cao, truy xuất tiến trình qua Tetragon và mô hình triển khai OpenShift mới.

Nếu bạn là một lập trình viên quản trị hệ thống hoặc DevOps cần tối ưu hóa và quản lý chính sách mạng trong Kubernetes, bài viết này sẽ giúp bạn hiểu cách áp dụng các tính năng mới như BGP route import và NetworkPolicy tiers để tự động hóa và bảo mật môi trường cloud-native hiệu quả hơn.

How k0rdent and Cilium Turn Kubernetes Sprawl into a Platform

Việc triển khai một cụm Kubernetes đơn lẻ khá dễ dàng, nhưng quản lý hàng loạt cụm (Kubernetes sprawl) trên thực tế mới là thách thức lớn, khi đó các giải pháp như k0rdent (đa cụm) và Cilium (mạng/lưới) giúp biến tình trạng "loạn" này thành một nền tảng thống nhất.

Lập trình viên Kubernetes nên đọc bài này để tìm hiểu cách giải quyết vấn đề sprawl (phong phú không kiểm soát) bằng cách chuyển từ việc quản lý nhiều cluster riêng biệt sang một nền tảng thống nhất, giúp tối ưu hóa chi phí, bảo mật và quản lý hiệu quả hơn.

How to Implement Zero-Trust Workload Identity in Kubernetes with SPIFFE, SPIRE, and Cilium

Triển khai identity workload bằng SPIFFE/SPIRE trong Kubernetes giúp cấp chứng chỉ X.509 ngắn hạn (SVID) cho mỗi workload dựa trên namespace và service account, thay thế IP động không ổn định. Cilium sau đó sử dụng các SVID này để thực thi mutual TLS ở tầng eBPF, loại bỏ nhu cầu sidecar hay sửa đổi ứng dụng, đồng thời hỗ trợ quan sát chính sách qua Hubble.

Lập trình viên cần đọc bài này để hiểu cách triển khai mô hình Zero Trust trong Kubernetes bằng cách thay thế cơ chế kiểm soát dựa trên IP bằng giải pháp tín nhiệm mã hóa, giúp bảo mật động và tự động hóa mà không cần thay đổi ứng dụng.

Securing CI/CD for an open source project, part 3: Credentials, verification, and what’s next

Bài viết thứ ba trong loạt bài tăng cường CI/CD của Cilium tập trung vào cô lập credential, ký ảnh (image signing) và xác thực chuỗi cung ứng, bao gồm sử dụng Sigstore Cosign, SPDX SBOMs, DCO sign-offs, cũng như liệt kê những hạn chế còn tồn tại như thiếu SLSA provenance hay govulncheck. Ngoài ra, bài viết còn đối chiếu lộ trình bảo mật 2026 của GitHub Actions với các biện pháp hiện tại và kế hoạch tương lai của Cilium.

Lập trình viên cần đọc bài này để hiểu cách bảo mật hóa chi tiết cho quy trình CI/CD của dự án mở nguồn, từ cách quản lý mật khẩu an toàn đến việc xác thực và triển khai các giải pháp hiện đại như OIDC và SBOM, giúp tránh rủi ro từ các lỗ hổng trong chuỗi cung ứng.

New ClusterNetworkPolicy in GKE

With ClusterNetworkPolicy (CNP) in GKE, administrators can manage network security centrally and implement consistent, non-bypassable policies.

Progressive Delivery with Argo Rollouts, Isovalent and Gateway API

Triển khai tiến bộ (progressive delivery) không chỉ dừng lại ở việc tạo Pod mới mà còn kiểm soát lưu lượng truy cập đến chúng. Bài viết giới thiệu cách triển khai canary dựa trên header bằng Argo Rollouts kết hợp với Gateway API.

Một lập trình viên cần đọc bài này để hiểu cách tối ưu hóa việc triển khai ứng dụng bằng cách kiểm soát lưu lượng traffic đến các phiên bản mới thông qua các chiến lược canary (đại diện) dựa trên header, giúp giảm rủi ro và tăng tốc độ phát triển nhờ Argo Rollouts và Gateway API.

Introducing Isopcap: Kubernetes-Native Packet Capture for Cloud Native Operations

Isopcap là công cụ capture gói tin (packet capture) gốc Kubernetes do Isovalent phát triển, tích hợp trong Isovalent Enterprise Platform, nhằm cung cấp khả năng giám sát lưu lượng mạng chi tiết trong môi trường cloud-native.

Lập trình viên phải đọc bài này để hiểu cách Isopcap giúp theo dõi và phân tích chi tiết hoạt động của các gói dữ liệu trong Kubernetes, giúp debug nhanh hơn khi gặp vấn đề về mạng trong môi trường cloud-native mà không cần phụ thuộc vào các công cụ truyền thống.

The Journey towards Logically Air-Gapped Deployment

Mô hình triển khai "logically air-gapped" (mạng cô lập logic) sử dụng eBPF, Cilium và Cisco nhằm đảm bảo hoạt động cloud-native an toàn, tuân thủ, giúp đạt được sự tự chủ số cho hạ tầng quan trọng.

Một lập trình viên cần đọc bài này để hiểu cách triển khai an toàn và tuân thủ cho các hệ thống quan trọng bằng cách áp dụng mô hình logic "không kết nối trực tiếp" (logically air-gapped) với công nghệ eBPF, Cilium và Cisco, giúp bảo vệ hệ thống cloud-native khỏi rủi ro mà không cần cắt đứt hoàn toàn kết nối mạng.

Watching Zero Trust Happen: A Cilium + Hubble Demo on a Local kind Cluster

Watching Zero Trust Happen: A Cilium + Hubble Demo on a Local kind Cluster A hands-on walkthrough for Kubernetes admins who want to see eBPF-based networking and observability work, not just read …

How to Build Kubernetes Networking Without Kubernetes: Do What the CNI Does By Hand

Bài viết hướng dẫn cách xây dựng mô hình mạng Kubernetes thủ công bằng Linux kernel, thay vì dựa vào Container Network Interface (CNI), nhằm hiểu rõ cách thức hoạt động của CNI thông qua các bước thực hành chi tiết.

Lập trình viên muốn hiểu rõ cơ chế hoạt động của CNI và tự xây dựng kiến trúc mạng cho Kubernetes từ gốc để tránh phụ thuộc vào các plugin bên ngoài, từ đó tối ưu hóa kiến thức và kiểm soát hoàn toàn hệ thống.

Isovalent Enterprise Platform 26.05: Bringing Kubernetes, VMs, and Load Balancing Into One Operating Model

Isovalent Enterprise Platform 26.05 is a major release targeting platform teams running mixed Kubernetes, VM, and shared load balancing infrastructure. Key highlights include: Isovalent Networking for Virtualization (INV) reaching GA with KubeVirt/OpenShift Virtualization support, IP-preserving migration via Network Bridge, and DHCP support; ExternalLB in Isovalent Load Balancer 1.19 enabling shared load balancing as a service for tenant clusters without per-cluster agents; Isovalent Networking for Kubernetes 1.19 adding policy-controlled BGP route import, structured network policy evaluation, and FQDN HA offline mode; Isovalent Runtime Security 1.19 introducing process-aware TetragonNetworkPolicy and improved File Integrity Monitoring; and Hubble Timescape 1.19 adding CEL-based filtering, policy editing, process ancestry, and OpenShift operator support. The release is built on Cilium, Tetragon, Hubble, and eBPF, aiming to unify networking, security, and observability controls across Kubernetes clusters, VMs, and cloud/datacenter environments.

Why agentic systems need microsegmentation

APIs are no longer sufficient to secure agentic AI systems because they enforce policy at request time, but autonomous agents make probabilistic, sequential decisions that can't be predicted or pre-approved. The solution is microsegmentation enforced at the kernel and network level using tools like eBPF, Cilium, and Tetragon. These technologies shift the enforcement point to runtime, constraining what an agent can read, write, execute, and connect to in real time — providing behavioral guardrails rather than interface-level contracts.

Multi-Cluster Kubernetes Explained

Multi-cluster Kubernetes is increasingly essential for enterprise-grade resilience, compliance, and geographic distribution. This guide covers the main reasons to adopt multi-cluster architectures (low latency, HA, compliance, hard multitenancy, M&A), five common topology patterns (active-active, active-standby, cluster per environment/region/tenant, hub-and-spoke), and a deep dive into Cilium ClusterMesh as the implementation mechanism. ClusterMesh uses eBPF-native direct routing without proxies, etcd-based state synchronization via KVStoreMesh, identity propagation across cluster boundaries, global services with load balancing and affinity controls, cross-cluster network policies, and Hubble for multi-cluster observability. Key requirements include non-overlapping Pod CIDRs, node-to-node IP reachability, and consistent datapath modes across clusters.