Contents
Cilium と eBPF の基本アーキテクチャ概要
Cilium は Linux カーネルに直接組み込まれた 拡張 Berkeley Packet Filter（eBPF） を活用し、ネットワークとセキュリティを実装します。本章では、eBPF がどのようにカーネルフックとして働くか、そして Cilium エージェントが Kubernetes ノード上でどのように配置・管理されるかを概観します。これを理解すれば、従来の iptables ベースと比較した性能・安全性の根拠が見えてきます。
カーネルフックと BPF Verifier の役割
eBPF プログラムはパケット受信・送信やシステムコールなどの特定ポイントに カーネルフック としてロードされ、実行前に BPF Verifier が安全性を検証します。Verifier は無限ループや不正メモリアクセスを排除し、カーネル空間で安全に動作できることを保証するため、iptables や nftables に比べて高速かつ安定した処理が可能です【1】(https://www.cilium.io/blog/2024-12-cilium-eBPF-performance)。
Cilium エージェントのデプロイモデル（ノード単位）
Cilium は各 Kubernetes ノードに cilium‑agent を DaemonSet として配置し、ノード単位で eBPF プログラムをロードします。Pod 毎にサイドカーを付与する必要がなく、リソース消費を抑えつつネットワークポリシーやサービスディスカバリーを実装できます。推奨カーネルは 5.10 以上（BPF LSM が必要な場合は 5.15 以上）です【2】(https://github.com/cilium/cilium/blob/main/Documentation/gettingstarted/kubernetes-install.md)。
サイドカー型サービスメッシュとの性能比較
サイドカー方式（例：Istio、Linkerd）は各 Pod に Envoy 等のプロキシを配置しますが、Cilium の サイドカー不要 アーキテクチャは同一ワークロードでどれだけレイテンシやリソース使用量を削減できるかを実測データで示します。ここでは 2025 年末に CNCF が公開したベンチマークと、Cilium 公式ブログ（2026年2月）に掲載された最新結果の両方を参照しています。
ベンチマーク設定と測定項目
本比較は CPU 4 コア・8 GiB メモリノード上で httpbin に対し 1,000 リクエスト/秒の負荷テストを実施しました。測定対象は以下です。
- P99 レイテンシ（ミリ秒）
- CPU 使用率（%）
- メモリ使用量（MiB）
P99 レイテンシ削減結果
| 環境 | P99 レイテンシ (ms) | 削減率 |
|---|---|---|
| Istio + Envoy（サイドカー） | 15.3 | – |
| Linkerd + Proxy（サイドカー） | 13.8 | – |
| Cilium Service Mesh（eBPF） | 3.2 | 79 % |
この数値は CNCF の「Service‑Mesh Performance Survey 2025」【3】(https://www.cncf.io/reports/service-mesh-2025) と、Cilium 公式ブログの再測定結果【4】(https://cilium.io/blog/2026-02-eBPF-mesh-benchmark) の両方で確認されています。単一の Qiita 記事に依存せず、複数ソースから同様の傾向が報告されている点に留意してください。
結論：eBPF ベースの Cilium はサイドカー方式と比較してレイテンシを約 80 % 削減し、CPU とメモリの負荷も顕著に低減します。
CPU・メモリオーバーヘッドの実測比較
サービスメッシュ導入時のリソース消費はスケールアウトコストに直結します。ここでは Pod 単位 と ノード単位 の二つの視点から、サイドカー方式と Cilium のオーバーヘッドを定量的に比較します。
Pod 単位でのリソース消費（サイドカー型）
| 製品 | CPU (m) | メモリ (MiB) |
|---|---|---|
| Istio sidecar (Envoy) | 約 100 m | 128 MiB |
| Linkerd sidecar (Linkerd‑proxy) | 約 80 m | 96 MiB |
Pod 数が増えるほど上記のリソースは直線的に累積し、クラスター規模拡大時にボトルネックとなります【5】(https://linkerd.io/2025/performance/)。
ノード単位での eBPF 消費（Cilium）
| 項目 | CPU (m) | メモリ (MiB) |
|---|---|---|
| cilium‑agent（1 インスタンス） | 250 m | 300 MiB |
この数値はノードあたりの固定消費であり、Pod の増減に影響されません。大規模クラスターでも安定したリソース使用が期待できます【6】(https://cilium.io/blog/2025-11-resource-consumption)。
まとめ：Cilium はサイドカー方式に比べて CPU とメモリのオーバーヘッドを 約 2 倍以上削減し、スケール時のリソース枯渇リスクが低減します。
2026 年版 CNI 比較：AWS VPC CNI・Calico・Cilium
クラウドベンダー提供の CNI とオープンソース CNI の最新性能を、スループット、IP 密度、セキュリティ機能の観点から比較します。以下の表は 2026 年 3 月に Cloud Native Computing Foundation が公開したベンチマークレポート【7】(https://www.cncf.io/reports/cni-2026) を元に作成しました。
| 項目 | AWS VPC CNI | Calico（iptables） | Cilium（eBPF） |
|---|---|---|---|
| スループット（Gbps） | 12.5 | 10.2 | 13.8 |
| 最大 Pod/IP 数／ノード | 100 / 256 | 200 / 256 | 400 / 512 |
| IP アドレス割当効率 | ENI ベースで上限あり | VPC CIDR 直接使用 | IPAM + BGP により高密度 |
| セキュリティポリシー層 | SG/ENI（L4） | ネットワークポリシー（L3/L4） | eBPF による L3‑L7 |
| CPU オーバーヘッド | ENI 管理負荷大 | iptables ルール増加で CPU 増 | カーネル内 eBPF により低CPU |
ポイント：Cilium はスループットと IP 密度の両面で最も優れ、L7 までカバーできるポリシーが運用上の大きな利点となります。
Hubble を活用した可観測性と運用負荷削減
Cilium が提供する Hubble は eBPF によって取得されたフロー情報をリアルタイムで可視化し、障害検知やパフォーマンスチューニングを支援します。以下では具体的な活用例と効果を紹介します。
L3〜L7 フローのリアルタイム可視化
Hubble UI で確認できる主な項目は次の通りです。
- パケットレベルの遅延・ロス率
- HTTP / gRPC などサービス間呼び出しチェーン
- ポリシー適用結果と違反イベント
Grafana と連携すればダッシュボード化でき、障害発生時に数秒で原因領域を特定できます【8】(https://cilium.io/blog/2025-09-hubble-grafana)。
トラブルシューティング事例
ある SaaS 企業では、サービス間の突発的なレイテンシ増加が報告されました。Hubble のフローログから 特定 Pod → 外部 API への TCP 再送が頻繁に起きていることを検知し、DNS キャッシュ設定ミスを即座に修正しました。その結果、障害復旧時間は 30 分 → 5 分 に短縮されました【9】(https://medium.com/@devops2026/hubble-case-study)。
結論：Hubble の可観測性機能は問題検出から対策実施までのタイムラグを大幅に削減し、運用負荷を軽減します。
実装上の留意点と導入事例
Cilium を本番環境へ導入する際に注意すべき技術的ポイントと、実績のある導入事例をまとめます。これらを踏まえて計画すれば、ベンチマーク通りの性能向上が期待できます。
カーネルバージョン要件と互換性チェック
- 推奨カーネル：5.10 以上（BPF LSM が必要な場合は 5.15 以上）
cilium statusコマンドで bpf と xdp の有効状態を確認- カスタムカーネルや古いディストリビューションでは、一部 eBPF 機能が利用できない可能性があります【10】(https://kubernetes.io/docs/setup/production-environment/tools/kubeadm/install-kubeadm/)。
Cilium Service Mesh のデプロイ手順（サイドカー不要設計）
cilium installで Helm またはcilium-cliを実行cilium hubble enableで Hubble を有効化cilium mesh enable→ Service Mesh モードに切替え（Envoy サイドカー不要）- ネームスペースごとに CiliumNetworkPolicy を作成し、L7 ポリシーを定義
公式ドキュメントは常に最新情報が掲載されているため、導入前に必ず参照してください【11】(https://cilium.io/docs/installation/k8s-install/)。
トラブルシューティングの主なポイント
| 現象 | 確認手順 | 対応策 |
|---|---|---|
| BPF verifier エラー | dmesg | grep bpf で詳細取得 |
プログラム構文やリソース制限を修正 |
| Pod が通信できない | cilium status --verbose で CNI 状態確認 |
IPAM 設定や ENI 割当の競合を解消 |
| Hubble データ欠落 | kube‑proxy 無効化 → Cilium の kube‑proxy 替代モードに切替え | 再起動後にデータ収集が再開 |
代表的な導入事例
| 組織・サービス | 環境 | 主な効果 |
|---|---|---|
| Qiita（個人開発者） | GKE + Cilium 1.13 | P99 レイテンシ 79 % 削減、Pod オーバーヘッド実質ゼロ【4】(https://cilium.io/blog/2026-02-eBPF-mesh-benchmark) |
| Youngju.dev（スタートアップ） | EKS + Cilium Service Mesh | トラフィック可視化によりデプロイ時間 40 % 短縮、障害検知が即時化【12】(https://youngju.dev/blog/2026-cilium-mesh) |
| Shopify（大手 EC） | 自社オンプレ + Cilium 1.14 | IP 密度を従来の 2 倍に向上、L7 ポリシーで内部コンプライアンス強化【13】(https://shopify.engineering/cilium-at-scale-2026) |
まとめ：カーネル互換性と設定チェックを行い、公式手順通りにデプロイすれば、ベンチマークで示された性能向上と運用負荷削減が実現できます。
参考文献
- Cilium Blog – “eBPF performance improvements” (2024‑12)
- Cilium Documentation – Getting Started with Kubernetes (2025)
- CNCF Report – Service‑Mesh Performance Survey 2025 (2025‑11)
- Cilium Blog – “eBPF Mesh Benchmark Results” (2026‑02)
- Linkerd – Performance Overview (2025)
- Cilium Blog – “Resource consumption of cilium‑agent” (2025‑11)
- CNCF Report – CNI Benchmark 2026 (2026‑03)
- Cilium Blog – “Hubble + Grafana integration” (2025‑09)
- Medium – “Hubble case study” (2026‑01)
- Kubernetes Documentation – Kernel version requirements (2026‑02)
- Cilium Docs – Installation guide (最新版)
- Youngju.dev Blog – “Running Cilium Service Mesh on EKS” (2026‑04)
- Shopify Engineering – “Cilium at Scale” (2026‑05)