Расширение политик фильтрации трафика в Cilium

Всем привет, меня зовут Антон Баранов, ведущий разработчик платформы контейнеризации «Боцман» в Группе Астра.

eBPF в Kubernetes перестал быть экзотикой и стал базовым механизмом для реализации L3/L4/L7‑политик, продвинутой телеметрии и runtime‑security на уровне ядра. Для инженера это значит, что без понимания eBPF‑хуков, map’ов и того, как Cilium/Calico и observability‑агенты встраиваются в сетевой стек уже невозможно эффективно дебажить и тюнить современный кластер kubernetes. В этой статье я расскажу, как мы расширили политики фильтрации трафика в Cilium, чтобы они учитывали классификационные метки, встроенные в сетевые пакеты Astra Linux, и что это дало с точки зрения безопасности и наблюдаемости.