【2026年】Cilium CNI ホームラボ活用ガイド｜eBPF で次世代K8sネットワーク

kube-proxy の置換とパフォーマンスへの影響分析

従来の Kubernetes クラスターでは、kube-proxy コンテナが各ノードで実行され、iptables や IPVS を使用してサービスマッピングを管理していました。この仕組みはシンプルですが、ルール数が膨大になるとカーネル内のテーブルサイズが増加し、ルックアップの遅延が発生する問題がありました。Cilium による kube-proxy の置換（kubeProxyReplacement）はこのボトルネックを解決します。具体的には、Cilium エージェントが直接カーネル上で eBPF プログラムをロードすることで、ネットワークパケットの処理をユーザー空間のプロセスを経由せずに完結させます。これにより、コンテキストスイッチが不要となり、CPU 使用率が著しく低下します。

ベンチマークデータに基づいた比較では、10Gbps のネットワーク帯域下での TCP スループットにおいて、Cilium eBPF モードは kube-proxy 動作時に比べて平均で 30〜40% の向上が確認されています。また、パケットあたりのレイテンシも大幅に短縮され、マイクロ秒単位での遅延低下が見られます。具体的数値として、kube-proxy を使用する場合の平均 RTT（Round Trip Time）が約 5ms であるのに対し、Cilium eBPF モードでは 1.2ms 前後まで改善されます。これは、リアルタイムアプリケーションやゲームサーバーをホームラボでホストする際に特に効果的な変化です。

ただし、すべての環境で kube-proxy の置換が最適とは限りません。一部の特殊なネットワーク設定や、特定のルーター機能を使用している環境では、従来の kube-proxy が必要となるケースがあります。例えば、外部のクラウドプロバイダーと連携して LoadBalancer IP を取得する場合などには、Cilium の L2 Announcement や BGP モードの設定が必要です。また、Windows ノードをクラスターに含める場合、eBPF のサポートがまだ限定的であるため、kube-proxy を併用するハイブリッドモードを選択する必要があります。これらの点を確認し、ホームラボの具体的な要件に合わせて設定を調整することが重要です。

Hubble による可視化とトラブルシューティングの実践

Cilium の最大の利点の一つは、その強力な可視化機能である Hubble です。Hubble は eBPF データストリームを使用して、クラスター内のすべてのネットワークフローをリアルタイムで監視・記録します。従来の kubectl logs や tcpdump では捉えきれない、サービス間の通信経路やボトルネックを直感的なグラフやリストとして表示できます。ホームラボ環境において、ネットワーク設定が複雑化してくると、接続性の問題が発生した際に原因特定が困難になります。Hubble を導入することで、どのノードからどのポートへパケットが送信されたか、あるいはどこでドロップされたかを一目で把握できるようになります。

CLI による利用方法としては、hubble observe コマンドが基本となります。これを実行すると、現在のクラスター内で発生しているフローのリストが表示され、IP アドレス、ポート、プロトコル、接続状態などの詳細情報が得られます。例えば、特定のサービスへの通信が失敗している場合、hubble observe --from 10.244.0.5 のようにフィルタリング指定することで、関連するトラフィックに特化して調査可能です。さらに、--drop フラグを付与すると、ネットワークポリシーやセキュリティ設定によりパケットがドロップされたケースのみを表示し、トラブルシューティングの効率を劇的に向上させます。

Hubble UI はポータブルな Web インターフェースとしても提供されており、ブラウザからクラスターのネットワーク状態を可視化できます。デプロイには追加の Helm チャートが必要ですが、導入後はダッシュボード上でフローのグラフやトップトーカー（最も多くのトラフィックを送受信しているコンテナ）を確認可能です。2026 年時点では、Hubble の UI がさらに洗練され、タイムライン機能による過去のトラフィックの再生や、異常検知アラートの設定機能が強化されています。また、Logstash や Prometheus との連携により、長期的なネットワークパフォーマンスの分析も可能となり、ホームラボのパフォーマンスチューニングに不可欠なツールとなっています。

Network Policy と Tetragon によるセキュリティ強化

Kubernetes 環境におけるセキュリティポリシーは、NetworkPolicy の仕様によって定義されますが、Cilium はその実装において eBPF を使用することで、より高速で柔軟な制御を実現しています。NetworkPolicy は、特定の pod や namespace にアクセスできるソースや宛先を明示的に指定し、デフォルトでは全てのトラフィックを拒否する「deny-all」の原則に基づいて設計されます。Cilium では、このポリシーが eBPF マップとしてノードに展開され、カーネルレベルで即座に適用されるため、パフォーマンスへの影響はほぼ無視できるレベルです。

セキュリティ強化のためには、NetworkPolicy の設計思想をゼロトラストモデルに移行する必要があります。例えば、Web サーバーの Pod に対して、データベースサーバーからのみポート 5432 へのアクセスを許可するポリシーを設定します。Cilium の NetworkPolicy YAML では、from セクションで IP セットやラベルマッチングを指定し、ports セクションでプロトコルと番号を定義します。この設定は静的なルールだけでなく、動的なスケーリングにも対応しており、Pod が新しいノードにスケールされた際も自動的に eBPF ルールが更新されます。

さらに高度なセキュリティ監視には、Tetragon という拡張機能を利用できます。Tetragon は、eBPF を使用してカーネルレベルのシステムコールを監視するランタイムセキュリティツールです。NetworkPolicy がネットワーク層での保護を行う一方で、Tetragon はアプリケーション層やプロセスレベルでの挙動を検知します。例えば、特定のコンテナが意図しないファイルへの書き込みを試みたり、外部への不正な接続を試みる場合に検知してアラートを発します。2026 年時点では、Tetragon の検知ルールの作成も YAML で定義可能となり、カスタマイズ性が向上しています。これらを組み合わせることで、ホームラボ環境であっても、本番レベルのセキュリティ体制を構築することが可能です。

BGP と L2 Announcementによる外部接続と負荷分散

Cilium は従来の IP アドレス管理方式だけでなく、BGP（Border Gateway Protocol）や L2 Announcement 機能を活用して、より高度なネットワーク統合を実現します。特にホームラボ環境では、クラスター外からのアクセスを効率よく処理するために、これらの機能が重要となります。L2 Announcement は、Kubernetes サービスのロードバランサー IP を物理スイッチ上で公開する機能を指し、MetalLB の代替として利用できます。これにより、クラスター外のデバイスが Kubernetes サービスに対してローカルネットワークと同じ感覚で接続できるようになります。

BGP 機能は、より複雑なシナリオやマルチデータセンター環境で威力を発揮します。Cilium は BGP Peer として外部ルーターと通信し、Kubernetes の IP アドレスを外部へ広告することができます。これにより、クラスター内のサービスが外部ネットワークにシームレスに公開されます。設定には、BGP パラメータ（ASN、Router ID、Peer IP など）を指定する必要がありますが、Cilium では Helm チャートや YAML で簡単に定義可能です。2026 年時点では、この機能は BGP Overlays のサポートも強化されており、異なるサブネット間での通信も安定して動作します。

DSR（Direct Server Return）モードのサポートも注目すべき点です。DSR は、サーバーから戻ってくるレスポンスパケットがロードバランサーを通過しないようにする技術で、ルーター負荷を軽減し、スループットを向上させます。Cilium では cilium load-balancer を使用して DSR モードを設定可能であり、10Gbps 以上の帯域環境では特に効果的です。設定例としては、LoadBalancer の IP で L2 アドレスを設定し、DSR 用の設定パラメータを有効にします。これにより、外部からのトラフィックはロードバランサーを経由してノードへ到達しますが、レスポンスは直接クライアントへ返されるため、ルーターの処理負荷が大幅に削減されます。

Service Mesh と Gateway API の統合と管理

Cilium は、従来の Istio や Linkerd といった Service Mesh の役割も一部担うことができます。Service Mesh は、マイクロサービス間の通信を制御し、トラフィック分割や暗号化、可視化を行うインフラですが、Cilium はサイドカープロキシを使用しない「Sidecarless」なアプローチを採用しています。これは、各コンテナに Envoy プロキシを追加するのではなく、eBPF を使用して同じ機能をカーネル内で実現します。これにより、オーバーヘッドが大幅に減少し、ホームラボのようなリソース制約のある環境でも本格的な Service Mesh 機能を利用可能です。

Cilium の Service Mesh 機能では、HTTP や gRPC の L7 ルーティングが可能です。具体的には、URL パスやヘッダーに基づいてトラフィックを異なるバージョンのサービスへ振り分けることができます。例えば、/api/v2 というパスを持つリクエストは、新しいバージョンのコンテナにルーティングし、それ以外は旧バージョンへ送る設定が可能です。また、認証情報の管理や TLS 自動暗号化も Cilium が担うため、開発者はアプリケーションコードを変更することなくセキュリティ強化を達成できます。2026 年時点では、この機能は Istio との互換性も向上しており、既存の Service Mesh ミグレーションパスもサポートされています。

Gateway API は、Cilium の Ingress Controller や External Traffic Policy を標準化された形式で管理するために使用されます。従来の Ingress Resource に代わり、Gateway API を使用するメリットとして、複数の Gateway インスタンスへのルーティングや、DNS 管理の強化などが挙げられます。Cilium では Gateway API リソースをネイティブにサポートしており、Kubernetes のデフォルト機能として利用可能です。これにより、クラスターの外から内部サービスへアクセスする際のルール設定が一元化され、保守性が向上します。特に複数クラスタ環境では、Gateway API を使用してクロスクラスタルーティングを定義することで、複雑なネットワーク構成も管理しやすくなります。

クラスターメッシュと WireGuard による分散環境構築

2026 年時点のホームラボ環境では、単一の Kubernetes クラスターだけでなく、複数のクラスターを連携させる「Cluster Mesh」設定が一般的です。Cilium は Cluster Mesh 機能を提供しており、異なるノードや異なる物理位置にあるクラスター間のネットワーク接続を安全かつ高速に構築します。これにより、開発用と本番用、あるいは地域分散型でのデータ保存など、複数のクラスタ間でもシームレスな通信が可能となります。Cluster Mesh の実装には、通常は WireGuard を使用して encrypted tunnel を作成し、IP アドレス空間をマッピングします。

WireGuard によるトンネル接続は、従来の IPsec に比べて設定がシンプルで、パフォーマンスが高いことが特徴です。Cilium はクラスター間のトラフィックを自動で暗号化し、安全なチャンネル上で転送します。設定には、各クラスタのルーター ID と WireGuard キーペアを定義する必要がありますが、これにより、外部からの攻撃や盗聴に対する防御も同時に強化されます。また、Cluster Mesh を使用することで、サービス間の L7 ルーティングも跨クラスタで可能となり、より大規模なマイクロサービスアーキテクチャを実現できます。

クラスターメッシュの構成例では、2 つ以上の k3s クラスターを想定します。A クラスタと B クラスタが物理的に異なるネットワークに存在する場合でも、Cilium の Cluster Mesh 機能により 1 つの論理的なネットワークとして扱えます。これにより、開発者はクラスターの境界を意識せずにサービス間の通信を設定可能です。ただし、この機能を有効にするには、クラスタ間で DNS 解決や IP アドレス重複の問題を考慮する必要があります。具体的には、各クラスタに固有の Pod CIDR と Service CIDR を割り当てることで、IP の衝突を防ぎます。これにより、複雑なネットワーク構成でも安定した動作を保証します。

性能ベンチマークと他 CNI との比較評価

Cilium のパフォーマンスを定量的に評価するためには、他の CN（コンテナ・ネットワーキングインフラ）との比較が必要です。特に Calico、Flannel、Kube-router、Antrea は一般的な選択肢であり、各々の特徴を理解して選択することが重要です。Calico は L3 ベースの強力で広範なネットワークポリシーを提供しますが、eBPF 機能は Cilium に比べて限定的です。Flannel はシンプルで軽量ですが、高度なセキュリティや可視化機能が不足しています。

性能ベンチマークの結果を比較表にまとめました。このデータは、2026 年時点の最新環境（Linux 6.x、Intel Xeon E-23xx シリーズ、10Gbps NIC）での測定値を基に作成されています。Cilium eBPF モードは、特に高負荷時のスループットとレイテンシにおいて他社製品を上回っています。

また、Service Mesh との比較も重要です。Cilium Service Mesh はサイドカーレスであるため、リソース効率が高い一方、Istio のような完全なメッシュ機能を提供する場合は Istio の方が優れています。ただし、ホームラボ環境のようにリソースが限られている場合や、シンプルな L7 ルーティングが必要な場合は Cilium が最適解となります。

まとめとホームラボでの実践ステップ

Cilium CNI をホームラボ環境で活用することは、Kubernetes のネットワークパフォーマンスを劇的に向上させ、次世代のセキュリティ機能を実現する手段となります。eBPF 技術の採用により、従来のカーネルベースの制約から解放され、より柔軟な制御が可能となりました。本ガイドでは、Cilium 1.17 を中心に、インストールからトラブルシューティングまでを解説しました。具体的な実践ステップとして、まず Linux 6.x カーネルへのアップグレードを行い、次に Helm を使用した Cilium のデプロイを行います。その後、Hubble を導入して可視化を確認し、最後に NetworkPolicy や Cluster Mesh といった高度な機能を順次追加していくことが推奨されます。

記事全体の要点を以下にまとめます。

• eBPF 技術の活用: パケット処理をカーネルレベルで完結させ、パフォーマンスとセキュリティを両立する。
• ハードウェア要件: Linux 6.x カーネル、10Gbps NIC、4GB RAM 以上のノード環境が推奨される。
• インストール方法: Helm を使用したデプロイが最も安定しており、kubeadm との互換性も確保されている。
• 可視化と監視: Hubble によりネットワークフローをリアルタイムで追跡し、トラブルシューティングを効率化する。
• セキュリティ強化: NetworkPolicy と Tetragon を組み合わせ、ゼロトラスト環境を実現する。
• 外部接続: BGP と DSR モードを活用して、負荷分散と高速なレスポンスを実現する。
• Service Mesh: Sidecarless 方式により、リソース効率の高いサービス間通信を管理可能とする。

よくある質問（FAQ）

Q1. ホームラボで Cilium を使う場合、Linux カーネルのバージョンは何以上が必要ですか？ A1. 2026 年時点では Linux 6.x 系列の使用を強く推奨します。最低限として 5.17 以上ですが、eBPF XDP や最新のセキュリティ機能を利用するには 6.2 以降の環境が最適です。カーネルのバージョンは uname -r コマンドで確認可能です。

Q2. k3s クラスターに Cilium を導入する場合、既存の Calico はどうすれば良いですか？ A2. Calico は削除して Cilium に置き換える必要があります。Cilium の Helm 値設定で kubeProxyReplacement=true を指定することで kube-proxy も置換可能です。移行時は一度ネットワークを停止し、Kubernetes ノードを再起動する必要があります。

Q3. Hubble を使うとクラスターのパフォーマンスに影響はありますか？ A3. 影響はほぼ無視できるレベルです。Hubble は eBPF データストリームを使用するため、追加のコンテナやプロセスによるオーバーヘッドが発生しません。ただし、ログ収集量が多い場合はディスク I/O に若干の影響が出る可能性があります。

Q4. BGP 設定が複雑で理解できません。代替手段はありますか？ A4. ホームラボ環境であれば L2 Announcement モードの使用も有効です。これは MetalLB のような外部ルーターを必要とせず、Cilium エージェント内で IP を管理してスイッチに通知する方式であり、設定が比較的シンプルです。

Q5. 低スペックなラズパイクラスターでも Cilium は動作しますか？ A5. はい、動作しますが eBPF のオーバーヘッドを考慮する必要があります。ラズパイではメモリ不足になる可能性があるため、--set autoDirectNodeRoutes=false などの設定でリソース使用量を調整することをお勧めします。

Q6. NetworkPolicy で特定のポートへのアクセスを許可する設定の例はありますか？ A6. podSelector でターゲット Pod を指定し、ingress セクションに ports と from を定義します。具体的には port: 80 に protocol: TCP を指定し、namespaceSelector で許可する Namespace を明示的に記載します。

Q7. Cluster Mesh を設定するとクラスター間のトラフィックは暗号化されますか？ A7. はい、Cilium の Cluster Mesh はデフォルトで WireGuard による暗号化トンネルを確立します。これにより、異なるネットワークに跨る通信も安全に行えますが、キーペアの管理には注意が必要です。

Q8. Windows ノードを含むクラスターでも Cilium を使えますか？ A8. 現時点では Linux ノードがメインです。Windows ノードを含める場合は、Cilium と kube-proxy の併用が必要ですが、完全な eBPF 機能は利用できません。Linux ノードのみで構成することをお勧めします。

Q9. Tetragon を導入するとセキュリティ監視のオーバーヘッドはどうなりますか？ A9. セキュリティ監視による CPU オーバーヘッドは数パーセント程度です。eBPF の効率性により、従来のウイルススキャナーなどの影響よりも遥かに軽量です。ただし、監査ログが増えるため、ストレージ容量には注意が必要です。

Q10. 既存の k3s クラスターから Calico を Cilium に移行する手順を教えてください。 A10. まず Cilium の Helm チャートをインストールし、kubeProxyReplacement=true で設定します。その後、Calico CNI プラグインを削除し、Cilium が CNI として認識されるようにノードを再起動します。この際、既存のサービス IP は保持されますが、一度ネットワーク接続が一時的に切断されます。