// Cilium Agent의 주요 서브시스템 (개념적 구조)
type Daemon struct {
    // 엔드포인트 관리
    endpointManager  *endpoint.EndpointManager
    // 정책 리포지토리
    policy           *policy.Repository
    // Identity 할당기
    identityAllocator *cache.CachingIdentityAllocator
    // IPAM
    ipam             *ipam.IPAM
    // 데이터패스 관리
    datapath         datapath.Datapath
    // KVStore 클라이언트
    kvStore          kvstore.BackendOperations
    // 모니터링
    monitorAgent     monitorAgent.Agent
}

# Agent 상태 확인
cilium status --verbose

# Agent 설정 확인
cilium config

# Pod 생성 시 Cilium CNI 호출 흐름
# 1. kubelet이 CRI를 통해 컨테이너 런타임에 Pod 생성 요청
# 2. 컨테이너 런타임이 CNI 플러그인(Cilium) 호출
# 3. Cilium CNI가 Agent에 API 호출
# 4. Agent가 veth pair 생성, IP 할당, BPF 프로그램 로드

# 엔드포인트 목록 확인
cilium endpoint list

# 특정 엔드포인트 상세 정보
cilium endpoint get 12345

+------------------+      +-------------------+
|  Cilium Operator |      |   Cilium Agent    |
|  (클러스터 범위)  |      |   (노드 범위)      |
+------------------+      +-------------------+
| - Cluster IPAM   |      | - 엔드포인트 관리   |
| - CRD GC         |      | - BPF 프로그램 로드 |
| - 노드 디스커버리  |      | - 정책 적용        |
| - Ingress 처리   |      | - conntrack 관리   |
| - Identity GC    |      | - Identity 할당    |
+------------------+      +-------------------+

apiVersion: apps/v1
kind: Deployment
metadata:
  name: cilium-operator
  namespace: kube-system
spec:
  replicas: 2
  strategy:
    type: RollingUpdate
    rollingUpdate:
      maxUnavailable: 1
  template:
    spec:
      containers:
        - name: cilium-operator
          image: quay.io/cilium/operator-generic:v1.16.0
          args:
            - --config-dir=/tmp/cilium/config-map
            - --cluster-pool-ipv4-cidr=10.0.0.0/8
            - --cluster-pool-ipv4-mask-size=24

패킷 수신 흐름:
NIC -> [XDP] -> 드라이버 -> [tc ingress] -> 네트워크 스택 -> [tc egress] -> NIC

Cilium BPF 프로그램 부착 위치:
- lxc* (veth): from-container, to-container
- cilium_host: to-host, from-host
- cilium_net: from-host (오버레이)
- eth0 (물리): from-netdev, to-netdev

# XDP 프로그램 확인
ip link show dev eth0
# eth0: ... xdp/id:42 ...

# BPF 프로그램 목록 확인
bpftool prog list

connect() -> [BPF sock_ops] -> 서비스 IP를 백엔드 IP로 변환
sendmsg() -> [BPF sk_msg] -> 소켓 간 메시지 리디렉션

C 소스 코드 (bpf/*.c)
    |
    v
LLVM/Clang (BPF 백엔드)
    |
    v
BPF ELF 오브젝트 파일 (.o)
    |
    v
BPF 로더 (bpf 시스템 콜)
    |
    v
커널 BPF 검증기
    |
    v
JIT 컴파일 -> 네이티브 기계어
    |
    v
커널에서 실행

bpf/
  bpf_lxc.c          # Pod(엔드포인트) 데이터패스
  bpf_host.c          # 호스트 네트워크 데이터패스
  bpf_overlay.c       # 오버레이(VXLAN/Geneve) 데이터패스
  bpf_network.c       # 물리 네트워크 인터페이스
  bpf_xdp.c           # XDP 프로그램
  bpf_sock.c          # 소켓 수준 프로그램
  lib/
    common.h          # 공통 헤더 및 매크로
    maps.h            # BPF 맵 정의
    policy.h           # 정책 관련 함수
    conntrack.h        # 커넥션 트래킹
    nat.h              # NAT 엔진
    lb.h               # 로드 밸런서

# 모든 BPF 맵 목록 확인
bpftool map list

# 특정 맵 내용 확인 (ipcache)
cilium bpf ipcache list

# 커넥션 트래킹 테이블
cilium bpf ct list global

# 서비스 로드 밸런서 테이블
cilium bpf lb list

# 정책 맵 확인
cilium bpf policy get 12345

# 터널 맵 확인
cilium bpf tunnel list

IP Cache 구조:
10.0.0.0/8    -> Identity: 1 (world)
10.244.0.0/16 -> Identity: 100 (cluster)
10.244.1.0/24 -> Identity: 200 (특정 네임스페이스)
10.244.1.5/32 -> Identity: 300 (특정 Pod)

룩업: 10.244.1.5 -> Identity 300 (가장 구체적인 매칭)

# conntrack 항목 예시
cilium bpf ct list global
# SRC: 10.244.1.5:34567 DST: 10.96.0.1:443
# Flags: rx+tx closing
# Lifetime: 120s
# RxPackets: 42 RxBytes: 3456
# TxPackets: 38 TxBytes: 2890

Pod 레이블:
  app: frontend
  env: production
  team: web

  |
  v (보안 관련 레이블 추출)

보안 관련 레이블:
  k8s:app=frontend
  k8s:io.kubernetes.pod.namespace=default

  |
  v (해시 계산)

Identity: 48291 (수치 식별자)

# Identity 목록 확인
cilium identity list

# 특정 Identity 상세 정보
cilium identity get 48291

# Identity에 포함되는 레이블 예시:
# - k8s:app=...
# - k8s:io.kubernetes.pod.namespace=...
# - k8s:io.cilium.k8s.policy.cluster=...

# Identity에서 제외되는 레이블 예시:
# - k8s:controller-revision-hash=...
# - k8s:pod-template-hash=...
# - k8s:pod-template-generation=...

노드 A: Pod 생성 -> 레이블 기반 Identity 요청
    |
    v
KVStore (CRD 또는 etcd)
    |
    v (Identity 할당/조회)
CiliumIdentity CRD:
  metadata:
    name: "48291"
  security-labels:
    k8s:app: frontend
    k8s:io.kubernetes.pod.namespace: default
    |
    v
노드 B: ipcache에 IP-to-Identity 매핑 업데이트

1. Pod 생성 이벤트 수신
   |
   v
2. CNI ADD 호출 -> veth pair 생성
   |
   v
3. IP 주소 할당 (IPAM)
   |
   v
4. Identity 할당
   |
   v
5. 정책 계산 (Identity 기반)
   |
   v
6. BPF 프로그램 컴파일
   (정책 + Identity + 설정 -> 맞춤형 BPF 코드)
   |
   v
7. BPF 프로그램 로드 (tc ingress/egress)
   |
   v
8. BPF 맵 업데이트
   (ipcache, endpoint map, policy map)
   |
   v
9. 엔드포인트 상태: Ready

# 엔드포인트 재생성 트리거 이유
# - 네트워크 정책 변경
# - Identity 변경
# - Cilium 설정 변경
# - 정책에서 참조하는 FQDN의 IP 변경

# 재생성 상태 모니터링
cilium endpoint list
# ID    IDENTITY   POLICY   ENDPOINT STATUS
# 1234  48291      OK       ready
# 1235  48292      OK       regenerating  <-- 재생성 중

1. Pod 삭제 이벤트 수신
   |
   v
2. CNI DEL 호출
   |
   v
3. BPF 프로그램 분리 및 제거
   |
   v
4. BPF 맵에서 관련 항목 제거
   |
   v
5. veth pair 삭제
   |
   v
6. IP 주소 반환 (IPAM)
   |
   v
7. 엔드포인트 메타데이터 정리

# 상세 엔드포인트 정보
cilium endpoint get 1234

# 엔드포인트 헬스 확인
cilium endpoint health 1234

# 엔드포인트별 BPF 프로그램 확인
cilium bpf prog list

# 엔드포인트 로그 확인
cilium endpoint log 1234

# CRD 기반 (기본값)
# - CiliumIdentity, CiliumEndpoint, CiliumNode 등의 CRD 사용
# - etcd 의존성 제거
# - 쿠버네티스 API 서버를 통한 상태 관리

# etcd 기반
# - 별도의 etcd 클러스터 필요
# - 대규모 클러스터에서 성능 우위
# - ClusterMesh 시 필수 (clustermesh-apiserver)

Agent 재시작
    |
    v
BPF 맵 복원 (맵은 커널에 유지)
    |
    v
기존 엔드포인트 검색 (veth 인터페이스 스캔)
    |
    v
엔드포인트 상태 복원 (CRD에서 로드)
    |
    v
Identity 캐시 워밍
    |
    v
정책 재계산 및 적용
    |
    v
정상 운영 재개

# 전체 상태 확인
cilium status --verbose

# BPF 프로그래밍 상태
cilium bpf prog list

# 데이터패스 설정 확인
cilium debuginfo

# 모니터링 (실시간 패킷 이벤트)
cilium monitor --type trace
cilium monitor --type drop
cilium monitor --type policy-verdict

# 메트릭 확인
cilium metrics list