역할 분담

• Cilium은 CNI로 Pod 네트워킹을, Istio는 그 위에서 L7 트래픽 관리를 담당. 서로 다른 레이어라 충돌 없이 같이 쓸 수 있음

주의할 점

단계별로 풀어보면

Istio 단독 동작 (정상):

1. App이 connect(ClusterIP:80) 호출
2. 커널이 패킷 만들어서 iptables 통과
3. Istio가 박아둔 iptables 룰: "ClusterIP 향하는 트래픽은 → 15001(Envoy)로 REDIRECT"
4. Envoy가 받아서 mTLS, L7 정책 처리 후 실제 목적지로 전송

Cilium kubeProxyReplacement 동작:

• Socket-level Load Balancing (socket-LB) 라는 기능이 핵심
• eBPF 프로그램을 BPF_CGROUP_INET4_CONNECT 후크에 attach
• App이 connect() syscall 호출하는 그 순간에 커널 안에서 가로채서 목적지 주소 자체를 PodIP로 바꿔버림
• 즉, 패킷이 만들어질 때부터 이미 ClusterIP가 아니라 PodIP를 향함

충돌 결과:

• Istio의 iptables 룰은 "ClusterIP 매칭" 조건 → 이미 PodIP로 치환된 트래픽은 매칭 실패
• Envoy로 안 가고 바로 타겟 Pod로 가버림