Cilium Cheatsheet

Cilium Cheatsheet

Dichte Referenz für Senior Platform Engineers und SREs zur eBPF-basierten Networking-, Observability- und Security-Lösung für Kubernetes. Identity-based Policies von L3 bis L7, kube-proxy-Replacement, Hubble, Encryption, ClusterMesh, Gateway API, Diagnose und Anti-Patterns.

Version
Cilium 1.20
Release-Daten geprüft
30. Oktober 2026
Edition
2026.11
Format
3 Seiten A4 quer, PDF
Lizenz
CC BY-SA 4.0
Neu in Cilium 1.20 Gateway API v1.6.1 ist Mindestvoraussetzung · Gateway API deutlich breiter · Kubernetes ClusterNetworkPolicy Alle Neuerungen →

Kapitel

  1. Architektur & Identity

    eBPF-Datapath statt iptables, Komponenten cilium-agent und cilium-operator, und die clusterweite Security-Identity aus Pod-Labels statt IP-basierter Regeln.

  2. Install & kube-proxy-Replacement

    Helm-Install per OCI, die Pflichtwerte k8sServiceHost und k8sServicePort für den Betrieb ohne kube-proxy, dazu Socket-LB, Istio und LoadBalancer ohne Cloud per LB-IPAM, L2 oder BGP.

  3. CiliumNetworkPolicy (L3/L4)

    Selektoren per Label, toEntities und toCIDR, CiliumClusterwideNetworkPolicy für Baselines, enableDefaultDeny und die drei policyEnforcementMode-Werte.

  4. L7-Policies & toFQDNs

    HTTP-Regeln unter toPorts.rules.http, Durchsetzung über den node-lokalen Envoy, entfernte Kafka-Regeln seit 1.20 und toFQDNs mit der DNS-Proxy-Voraussetzung.

  5. Hubble (Observability)

    Flows direkt aus dem eBPF-Datapath, Relay und UI mit Service-Map, Schwärzen von L7-Daten per hubble.redact und Hubble-Metriken für Prometheus.

  6. Encryption

    WireGuard mit Device cilium_wg0 und UDP 51871, Strict Mode, IPsec mit Per-Tunnel-Keys im Secret cilium-ipsec-keys und ztunnel als Beta.

  7. ClusterMesh

    Voraussetzungen wie disjunkte PodCIDRs und eindeutige cluster.id, Helm-Setup mit clustermesh-apiserver, Zertifikate und globale Services.

  8. Gateway API

    Der eingebaute Gateway-API-Controller mit GatewayClass cilium, Pflicht- und optionale CRDs, benötigte Helm-Werte und der TPROXY-Stolperstein ohne bpf.tproxy.

  9. Diagnose (cilium-CLI)

    cilium status, der E2E-Test cilium connectivity test, cilium sysdump für Bug-Reports und cilium-dbg im Agent-Pod.

  10. Neu in v1.20

    Die Highlights von Cilium 1.20 vom 29.07.2026, darunter ClusterNetworkPolicy, Gateway API v1.6.1 und netkit, sowie die Upgrade-Reihenfolge.

  11. Anti-Patterns

    Was im Cilium-Betrieb schiefgeht: toFQDNs ohne DNS-Regel, kube-proxy-frei ohne k8sServiceHost, CIDR-Regeln für Cluster-Traffic und WireGuard ohne UDP 51871.

Alle Kapitel auf einer Seite, zum Durchsuchen mit Strg+F und zum Drucken.

Vorschau (3 Seiten A4 quer)

Cilium Cheatsheet Seite 1: Architektur & Identity, Install & kube-proxy-Replacement, CiliumNetworkPolicy, L7-Policies & toFQDNs, Hubble
Cilium Cheatsheet Seite 2: Encryption, ClusterMesh, Gateway API, Diagnose, Neu in v1.20 mit Upgrade-Reihenfolge
Cilium Cheatsheet Seite 3: Anti-Patterns, QR-Code, Kontakt, Verwandte Cheatsheets, Lizenz und Marken-Hinweis

PDF herunterladen

Direkter Download, keine Mail-Adresse nötig. CC BY-SA 4.0: kopieren, drucken, weiterverteilen ist ausdrücklich erlaubt, solange die Quellenangabe sichtbar bleibt.

Cilium Cheatsheet (PDF, ~100 KB)

Verwandte Cheatsheets

Ebenfalls von OMNI52:
service-mesh-cheatsheet.de, Service Mesh im Vergleich
istio-cheatsheet.de, Istio in der Tiefe
kubernetes-cheatsheet.de, Kubernetes Core
rke2-cheatsheet.de, RKE2 (CNI-Wahl)

Projekt und Quellen

Cilium ist ein Graduated-Projekt der Cloud Native Computing Foundation (CNCF). Die Fakten auf diesem Blatt stützen sich vor allem auf diese Primärquellen:
github.com/cilium/cilium, Quellcode, Issues, Advisories
docs.cilium.io, offizielle Dokumentation
github.com/cilium/cilium/releases, Release Notes
cncf.io/projects/cilium, CNCF-Projektseite

Lizenz & Weiterverteilung

CC BY-SA 4.0. Du darfst dieses Cheatsheet kopieren, weiterverteilen, ausdrucken und in eigenen Materialien zitieren. Bedingung: Quellenangabe „Cilium Cheatsheet, OMNI52 GmbH, cilium-cheatsheet.de“ bleibt sichtbar, und abgeleitete Werke stehen unter der gleichen Lizenz (Share-Alike).

Nicht erlaubt: Logo, Marken oder den Eindruck zu vermitteln, dass der Inhalt von dir/euch stammt oder dass OMNI52 GmbH die Weiterverwendung sponsort.

Volltext der Lizenz: creativecommons.org/licenses/by-sa/4.0/deed.de.

Cilium is a trademark of The Linux Foundation, registered in the United States and/or other countries. Kubernetes is a registered trademark of The Linux Foundation. OMNI52™ is a trademark of OMNI52 GmbH (filed, not yet registered). This website is operated by OMNI52 GmbH and is not affiliated with, endorsed by, or sponsored by The Linux Foundation, the CNCF, or the Cilium project. “Cilium” is used in a nominative / descriptive sense to indicate the technology this cheatsheet documents.