CNI cilium chaining 目前仅支持 veth

答案：Cilium 不支持 macvlan 的可观察性

核心原因

1️⃣ 没有 macvlan CNI chaining 插件

Cilium 目前支持的 chaining modes：

没有 macvlan/ 目录或插件。

/Users/ftwhmg/g/cilium/plugins/cilium-cni/chaining/
├── api/           # Chaining API
├── awscni/        # AWS VPC CNI # ipvlan
├── azure/         # Azure CNI
├── flannel/       # Flannel CNI
└── generic-veth/  # 通用 veth（kube-ovn, Calico 等）

---

2️⃣ generic-veth 只支持 veth 类型

硬编码限制：只处理 type="veth" 的接口。

if link.Type() != "veth" {
    continue  // ← macvlan 的 type 是 "macvlan"，会被跳过
}

---

3️⃣ 可观察性依赖 BPF endpoint

Cilium/Hubble 的可观察性架构：

Pod 网络接口（veth/macvlan）
    ↓
Cilium Endpoint（需要 CNI chaining 创建）
    ↓
BPF 程序 attach（bpf_lxc.o）
    ↓
Flow events 捕获
    ↓
Hubble 可观察性

macvlan 场景：

• ❌ 没有 CNI chaining 插件 → 无法创建 endpoint
• ❌ 无法 attach BPF 程序到 macvlan
• ❌ 无 flow events
• ❌ Hubble 无法观察到流量

---

🚫 技术限制

macvlan vs veth 的差异

特性	veth	macvlan
接口类型	虚拟以太网对	MAC 地址分身
Host 端接口	✅ 有（veth peer）	❌ 无（直接挂父接口）
TC hook 点	✅ 在 host veth 上	❌ 在父接口上，流量无法区分 Pod
BPF attach	✅ per-veth TC	❌ 无法区分 Pod 流量
Cilium 支持	✅ generic-veth	❌ 不支持

---

💡 替代方案

方案 1：使用 veth 代替 macvlan

如果需要 Cilium 可观察性，考虑：

• 使用 veth-based CNI（bridge, ipvlan）
• 启用 Cilium generic-veth chaining

方案 2：Host-level 可观察性

在 macvlan 父接口上观察：

局限：无法区分具体哪个 Pod 的流量。

方案 3：等待社区支持

目前没有官方 roadmap 支持 macvlan，可以：

1. 提交 Feature Request：Cilium GitHub Issues
2. 自定义开发 macvlan chaining 插件（复杂度高）

---

📋 总结

问题	答案
Cilium 支持 macvlan CNI chaining 吗？	❌ 不支持
Hubble 能观察 macvlan Pod 流量吗？	❌ 不能
技术限制	macvlan 无 host-side veth，无法 attach per-Pod BPF
推荐方案	使用 veth-based CNI + generic-veth chaining

如果必须使用 macvlan，需要接受无法使用 Cilium/Hubble 进行 per-Pod 可观察性的限制。