Highlights (29.07.2026)
ClusterNetworkPolicy (network-policy-api,
v1alpha2): opt-in per
k8sClusterNetworkPolicy.enabled=true, CRD separat
installieren. Tier Admin schlägt auch CNP/CCNP,
Baseline greift erst nach ihnen. Volle
API-Konformität verlangt
--policy-cidr-match-mode=pods,nodes (Helm
policyCIDRMatchMode={pods,nodes}, Beta), weil die API
CIDR-Regeln auch auf Pod- und Node-IPs anwendet;
pods kostet je getroffenem Pod eine zusätzliche
Identity.
Gateway API v1.6.1: TCPRoute/UDPRoute GA, delegierte Listener (ListenerSets), ExternalAuth-Filter, Backend-TLS.
netkit automatisch (Beta):
bpf.datapathMode=auto nimmt netkit, wenn der Kernel
es kann (ab 6.8, eBPF-Host-Routing nötig), sonst veth;
Default bleibt veth. Kein In-place-Wechsel: erkennt
auto netkit auf einem Node mit bestehenden
veth-Pods, startet Cilium mit Fehler. Mit
bpf.tproxy=true fällt auto immer
auf veth zurück, explizites netkit plus tproxy startet
nicht.
Traffic Distribution:
PreferSameZone / PreferSameNode werden
ausgewertet; Maglev beachtet
service.cilium.io/weight auf EndpointSlices
(Gewicht 0 = draining, Bestandsverbindungen laufen weiter).
MCS-API stabil für portable Service-Discovery über ClusterMesh.
Getestet gegen Kubernetes 1.33 bis 1.36 (ältere ohne
Support, 1.37 erst im Entwicklungszweig für 1.21 gelistet),
Envoy je nach Patch 1.37 bis 1.39. Das
cilium-cni-Binary schrumpft von rund 77 auf
16 MB.
Upgrade-Reihenfolge
Nur eine Minor-Stufe je Upgrade oder Rollback, vorher auf den
letzten Patch der laufenden Linie;
upgradeCompatibility auf die Version der
Erstinstallation setzen.
Gateway-API-CRDs vor dem Cilium-Upgrade auf
mindestens v1.6.1 heben und TLSRoute-Ressourcen
vorher sichern. Kafka-/l7-/l7proto-Regeln
vorher aus den Policies entfernen, CiliumNodeConfig
auf cilium.io/v2 umstellen. Ziel mindestens
1.20.4: 1.20.0 und 1.20.1 scheitern auf
Clustern, die mit 1.15 oder älter angelegt wurden, und ein
HTTPRoute-ExternalAuth mit ungültiger
Backend-Referenz schlägt erst ab 1.20.2 geschlossen
fehl. 1.20.3 hat bei BackendTLSPolicy eine
Regression (hohe CPU-Last, kein Forwarding), behoben in
1.20.4.
Mit kube-proxy-Replacement ohne Socket-LB oder mit
socketLB.hostNamespaceOnly=true balanciert 1.20
Pod-Verbindungen auf NodePort-Services schon beim Verlassen des
Client-Pods. Die Egress-Policy des Clients muss die Backends
erlauben, die Ingress-Policy der Backends den Client.
Support-Fenster: drei Minor-Linien parallel (1.20.4, 1.19.10, 1.18.16 vom 23.10.2026). Die aktuelle Linie bekommt alle Bugfixes, die beiden Vorgänger nur Security- und schwere Korrektheits-Fixes. Die Releases vom 23.10. bauen mit Go 1.26.10 und verwerfen damit in den Go-Komponenten die eMudhra-Intermediates (CVE-2026-111943); zu cilium-envoy sagen die Release Notes nichts.