Curso de Cilium para empresas — Redes Kubernetes seguras y visibles

¿Qué es eBPF y cómo funciona dentro del kernel?

Casos de uso de eBPF en redes, seguridad y tracing

eBPF como alternativa moderna a iptables

Mapas, hooks y programas eBPF en Cilium

Compatibilidad del kernel y cómo verificar soporte

Instrumentación no intrusiva: ventajas

Cómo Cilium usa eBPF para redes y seguridad

Limitaciones y evolución de eBPF

Cilium eBPF vs XDP

Herramientas para explorar programas eBPF en tiempo real

Requisitos mínimos y configuraciones previas

Instalación usando Helm o `cilium install`

Parámetros clave del Helm chart

Reemplazo de kube-proxy con Cilium (kube-proxy replacement)

Validación de la instalación

Pruebas de conectividad básicas

Exploración de logs y componentes (DaemonSet, Operator)

Integración con Prometheus y Grafana

Uso de `cilium status`, `cilium connectivity test`

Desinstalación limpia y troubleshooting básico

Cómo Cilium enruta tráfico dentro del clúster

CiliumNode y CiliumEndpoint

CiliumRoutingMode (direct vs tunneling)

Encapsulación y encripción del tráfico pod-pod

Políticas de tráfico saliente

Direct Server Return (DSR) y SNAT

Estructura del datapath de Cilium

Load Balancing nativo (eBPF LB)

Gestión de Source IP y preserve identity

Práctica: inspección de rutas y políticas activas

Introducción a las CiliumNetworkPolicies

Aplicar políticas por labels, namespace, IP

Reglas L3 (IP, CIDR), L4 (puerto, protocolo)

Ingress vs Egress

Reglas deny y restrictivas por defecto

Logging y monitorización de reglas aplicadas

Identidades (SecurityID) y política basada en identidad

Auditoría de tráfico bloqueado

Herencia de políticas y prioridades

Práctica: segmentación de microservicios internos

Qué es seguridad a nivel L7 en Kubernetes

Reglas por método HTTP, path, host

L7 en protocolos HTTP, DNS y Kafka

Inspección y bloqueo de tráfico malicioso

Uso de DNSPolicy para control de dominios externos

Control de acceso a APIs REST con reglas L7

Compatibilidad con TLS y SNI

Limitaciones del filtrado L7 y bypass

Monitorización en tiempo real del tráfico

Práctica: filtrar `/admin` y permitir solo GET a `/api`

Qué es Hubble y cómo se integra con Cilium

Componentes: Hubble Relay, Hubble UI, CLI

Instalación y configuración de Hubble

Comandos clave: `hubble observe`, `hubble ui`, `hubble status`

Visualización de flujos de tráfico en tiempo real

Filtros: namespace, pod, labels, protocolo

Captura de tráfico DNS, HTTP, TCP, UDP

Exportación a Prometheus y Grafana

Detección de anomalías y bloqueos

Práctica: auditar flujo completo pod → servicio externo

Qué es egress control y por qué es importante

Configurar reglas para salida controlada (L3, L7)

Egress Gateway: salida a través de IP estática

Asignación de SNAT por namespace o etiqueta

Egress IPs por servicios o pods críticos

Reglas DNS para restringir a dominios aprobados

Auditoría del tráfico saliente

Simulación de tráfico malicioso saliente

Bloqueo de updates o dominios no autorizados

Práctica: egress a IP estática para servicio externo

¿Qué reemplaza Cilium de kube-proxy?

LoadBalancer, ClusterIP y ExternalTrafficPolicy

NAT, Source IP preservation y SNAT por default

DSR y eBPF NAT map

Algoritmos de balanceo de Cilium

Soporte para NodePort y servicios externos

eBPF host-routing vs tunnel-mode

IPAM y servicio de red sin iptables

Pruebas de rendimiento con kube-burner

Práctica: clúster sin kube-proxy con Cilium

Diferencias entre Kubernetes NetworkPolicy y CiliumPolicy

Compatibilidad e interoperabilidad

Migración progresiva desde NetworkPolicies nativas

Ejecución combinada de políticas estándar y Cilium

Revisión de políticas activas y conflictos

Herramientas de auditoría (`cilium policy trace`)

Visualización de políticas por flujo

Buenas prácticas de migración en producción

Uso de restricciones por defecto (`deny-all`)

Práctica: migrar un namespace entero a CiliumPolicies

Cilium Cluster Mesh

Requisitos para conectar clústeres

Topología recomendada y arquitectura

Descubrimiento de servicios entre clústeres

Interconexión segura y sincronización de identidades

Limitaciones y optimizaciones de Cluster Mesh

Coordinación con certificados y TLS

Casos de uso híbrido (cloud-onprem, edge)

Visualización multi-clúster con Hubble

Práctica: servicio compartido entre dos clústeres

Cilium con TLS mutuo entre pods

Uso de certificados y SPIFFE/SPIRE

Protección contra spoofing, IP hijacking y ARP poisoning

eBPF con AppArmor y SELinux

Integración con Falco, Kyverno y OPA

Monitorización de llamadas del sistema

Restricción por proceso/usuario en eBPF maps

Auditoría de llamadas sospechosas

Secure boot de nodos + validación de binarios

Práctica: segmentación con enforcement mTLS entre pods

Exposición de métricas Prometheus desde Cilium

Métricas disponibles: conexiones, políticas, drops, latencias

Dashboards de Grafana para Cilium

Alertas de tráfico bloqueado o desviaciones

Exportación de eventos de Hubble a Loki o ELK

Métricas por pod, nodo y namespace

Uso de métricas para capacity planning

Integración con herramientas SRE (Alertmanager, Sentry)

Mejores prácticas para observabilidad segura

Práctica: alertas en tiempo real por tráfico sospechoso

Verificación de estado de Cilium y sus pods

Diagnóstico con `cilium status`, `cilium sysdump`

Uso de `hubble observe` para tráfico fallido

Comprobación de políticas y su efecto

Limpieza y reinstalación segura

Revisión de CiliumEndpoint, Identity, Policy

Pruebas con netcat, curl y pod-to-pod

Identificación de causas comunes: MTU, SNAT, DNS

Rollback de políticas y fallback a kube-proxy

Práctica: depurar fallo de red inter-namespace

Elección de una app multi-servicio real

Segmentación por namespace y política zero trust

Reglas L3/L4 y L7 según endpoints

Hubble: visualización de tráfico permitido y bloqueado

Control de salida a dominios externos por DNS

Logging y auditoría de accesos HTTP

Reemplazo total de kube-proxy

Despliegue con Helm + dashboards de observabilidad

Generación de reporte de cumplimiento

Presentación final y revisión de arquitectura segura