Yükleniyor
Kubernetes kümelerinizde servis ağı (Service Mesh) altyapısını planlayın. Klasik Istio ve Linkerd yan-araba (sidecar) mimarisinin RAM/CPU maliyetini, Cilium'un çekirdek içi eBPF soket yönlendirmesi (sockops) ve tek hoplu paylaşımlı Envoy modeliyle kıyaslayın.
Pod başına Envoy yan-araba (sidecar) yükünü ortadan kaldırın. Çekirdek içi eBPF sockops ile %80+ RAM ve CPU tasarrufu sağlayın.
| Mimari Çözüm | Proxy Konumu | Toplam RAM | Toplam vCPU | P99 Gecikme | Aylık Maliyet |
|---|---|---|---|---|---|
| Cilium Service Mesh (eBPF) | Sidecarless / Node-Level | 4 GB | 0.85 vCPU | 0.57 ms | $26/ay |
| Istio Ambient Mesh | ztunnel + Waypoint | 7.76 GB | 1.85 vCPU | 1.51 ms | $53/ay |
| Linkerd 2 (Rust Proxy) | Sidecar (Pod Başına) | 9.06 GB | 1.7 vCPU | 1.98 ms | $56/ay |
| Istio Classic (Envoy Sidecar) | Sidecar (Pod Başına) | 22.18 GB | 3.4 vCPU | 3.64 ms | $125/ay |
Istio'da 300 pod için 300 ayrı Envoy konteyneri başlatılır ve her biri belleğe en az 70MB kural tablosu yükler. Cilium'da ise pod seviyesinde sıfır proxy çalışır; tüm L4 trafiği doğrudan Linux çekirdeğinde eBPF programlarıyla işlenir.
Istio veya Linkerd ile bir kümeye 500 pod dağıttığınızda, arka planda 500 adet ek Envoy/proxy konteyneri çalıştırılır. Her bir Envoy kendi bellek haritasına, kural setlerine ve metrik havuzuna sahiptir. Bu da kümede sırf ağ yönlendirmesi için 35-50 GB RAM ve onlarca vCPU çekirdeğinin rezerve edilmesine yol açar.
Ayrıca iptables kuralları tüm gelen/giden paketleri yerel döngü (loopback) üzerinden Envoy'a zorlar. Bu context switch ve çift TCP yığını geçişi, mikroservisler arası çağrılarda 2 ila 4 milisaniye ek P99 gecikmesine sebep olur.
Cilium, podların içine hiçbir yan-araba enjekte etmez. Bunun yerine Linux çekirdeğindeki `sockops` ve `sk_msg` eBPF kancalarını kullanır. Aynı Kubernetes düğümü üzerindeki iki pod haberleşirken, paket TCP yığınına girmeden doğrudan soketten sokete aktarılır.
L7 politikası (örneğin HTTP header yönlendirme, JWT doğrulama veya path tabanlı canary) gerektiğinde ise düğüm başına çalışan tek bir optimize edilmiş Envoy proxy kullanılır. Böylece pod sayısı 50'den 1.000'e çıksa dahi servis ağı proxy bellek ayak izi sabit kalır.
TCP/IP yığınını atlayarak soketten sokete doğrudan bellek kopyalaması yapar, L4 gecikmesini %80 azaltır.
WireGuard / IPsec ile podlar arası tüm trafiği çekirdekte şifreler, proxy yükü olmadan Zero-Trust sağlar.
Uygulama koduna müdahale etmeden tüm HTTP, gRPC ve DNS çağrılarını eBPF ile sıfır ek yükle izler ve görselleştirir.