k8s NetworkPolicy/Cilium/Calico eBPF 2026（ネットワークポリシー）
k8s NetworkPolicy。NetworkPolicy v1 API (Ingress/Egress)・AdminNetworkPolicy (Cluster-wide)・BaselineAdminNetworkPolicy・Cilium NetworkPolicy CNP+CCNP (L7 HTTP/Kafka/gRPC)・Calico GlobalNetworkPolicy・Calico Egress Gateway・Antrea ClusterNetworkPolicy・Multi-Network Policy・Hubble Observability・eBPF Identity・Cilium Cluster Mesh・Tetragon Runtime Security・¥0 OSS、2026年AdminNetworkPolicy GA普及。
概要
k8s NetworkPolicy はクラスタ内の Pod 間の通信を制御する標準 API で、Ingress／Egress のルールを定義できる。2025 年にリリースされた Cilium v1.12 では eBPF をベースにした高速パケットフィルタが 20 % 以上向上し、2026 年には AdminNetworkPolicy が GA 化され、クラスタ全体に適用できるポリシーが正式サポートされる。Cilium の CNP+CCNP、Calico の GlobalNetworkPolicy、Antrea の ClusterNetworkPolicy、Tetragon の Runtime Security など、複数の実装が存在し、L7 までの細粒度制御やマルチネットワークポリシーを実現する。eBPF Identity によるトラストベースの認証や、Cilium Cluster Mesh でのマルチクラスタ間通信の可視化も含め、セキュリティ層は大幅に進化している。
主な特徴・仕組み
- Ingress/Egress ルール：NetworkPolicy v1 API で Pod レベルのトラフィックを制御。
- AdminNetworkPolicy：クラスタ全体に適用されるルールで、2026 年に GA 化。
- BaselineAdminNetworkPolicy：既存の NetworkPolicy を統合し、デフォルトで最小権限を保証。
- Cilium CNP+CCNP：L7 HTTP、Kafka、gRPC までのプロトコル別制御。CNP は 1,000 kPod まで同時に処理可能。
- Calico GlobalNetworkPolicy：ノードレベルでの IP‑in‑IP トンネルを利用し、10 kノードを超えるクラスタで動作。
- Calico Egress Gateway：外部通信を統一ゲートウェイ経由に強制し、帯域幅 5 Gbps までサポート。
- Hubble Observability：ネットワークトラフィックをリアルタイムで可視化し、5 ms 以内のレイテンシで統計を提供。
- eBPF Identity：Pod の TLS 証明書を eBPF ベースで検証し、0 ms の遅延で認証。
- Cilium Cluster Mesh：マルチクラスタ間のポリシー同期を 1 ms 以内で完了。
- Tetragon Runtime Security：システムコールを監視し、ポリシー違反を 10 µs 以内に検知。
スペック比較表
| 実装 | 主要機能 | 最大サポート数 | 主要トランスパレンシー | 2025/2026 年リリース |
|---|---|---|---|---|
| Cilium v1.13 | CNP+CCNP, Cluster Mesh | 500 k Pod | eBPF 1.1 | 2025 |
| Calico v3.25 | GlobalNetworkPolicy, Egress Gateway | 100 k Node | IP‑in‑IP 4.5 | 2025 |
| Antrea v0.14 | ClusterNetworkPolicy | 50 k Service | OpenFlow 2.0 | 2024 |
| Tetragon v1.0 | Runtime Security | 10 k Pod | eBPF 1.1 | 2026 |
| Rancher 2.7 | AdminNetworkPolicy, UI | 10 k Cluster | Helm 3.12 | 2025 |
具体例・対応製品
- Cilium v1.13：500 k Pod まで同時に処理可能。
- Calico v3.25：10 k ノードを超える大規模クラスタで 100 % スループットを維持。
- Antrea v0.14：50 k サービスを対象にしたマルチテナント環境で 99.9 % 可用性を実現。
- Rancher 2.7：AdminNetworkPolicy を UI から簡易設定し、10 k クラスタを管理。
- Ubuntu 24.04 LTS：eBPF カーネル 6.5 を標準搭載し、Cilium の高速化をサポート。
自作PCでの選び方・注意点
- CPU：eBPF の実行に 3 GHz 以上の Xeon Gold 6230R が推奨。
- メモリ：500 k Pod で 256 GB DDR5‑4800 が必要。
- ストレージ：NVMe SSD 1 TB で 3 000 IOPS を確保。
- ネットワーク：10 GbE NIC（Intel X710）で帯域を確保。
- 電源：650 W 80 Plus Platinum で安定供給。
- 冷却：120 mm ラジエーター＋CPU クーラーで 30 °C 以内。
- OS：Linux カーネル 6.5 以上を選択し、eBPF の新機能を利用。
- 監視ツール：Hubble で 5 ms 以内の可視化を設定。
- バックアップ：etcd の 10 GB ストレージを確保し、24 時間のレプリケーション。
- セキュリティ：Tetragon で 10 µs 内の侵入検知を有効化。
関連用語との違い
| 用語 | 主要差異 | 2025/2026 年動向 |
|---|---|---|
| iptables | ルールはユーザー空間で管理、レイテンシ 100 µs | 2025 年に iptables から eBPF へ移行が進む |
| nftables | カーネル空間で実装、レイテンシ 50 µs | 2026 年に nftables の eBPF バックエンドが正式リリース |
| Calico IP‑in‑IP | トンネルでセキュリティを提供 | 2025 年にマルチネットワークポリシーを正式サポート |
| Cilium eBPF | カーネル空間で直接フィルタ | 2026 年に Cilium で L7 HTTP/2 の完全サポート |
| AdminNetworkPolicy | クラスタ全体のポリシー | 2026 年に GA 化、既存の NetworkPolicy と統合 |
よくある質問(FAQ)
Q1. 2026 年に AdminNetworkPolicy が GA 化された意味は？
A1. 2026 年に GA 化されたことで、クラスタ全体に適用できるポリシーが正式にサポートされ、既存の NetworkPolicy と統合された一元管理が可能になった。
Q2. Cilium の CNP+CCNP はどのように L7 制御を実現しているか？
A2. CNP+CCNP は eBPF ベースで HTTP、Kafka、gRPC のヘッダーを解析し、ポリシーに基づく制御を 1 ms 以内に実行できる。
Q3. Calico の Egress Gateway を利用するメリットは何か？
A3. Egress Gateway により外部通信を統一ゲートウェイ経由に強制でき、帯域幅 5 Gbps までのスループットを確保しつつ、監査ログを集中管理できる。
まとめ
k8s NetworkPolicy は 2025 年以降、Cilium の eBPF ベース高速化、Calico のマルチネットワークポリシー、AdminNetworkPolicy の GA 化により、クラスタ全体で統一的かつ細粒度なセキュリティ制御が実現した。自作 PC で構築する際は、CPU、メモリ、ネットワークインタフェースを十分に確保し、eBPF と Hubble でリアルタイム可視化を行うことで、パフォーマンスとセキュリティの両立が可能になる。