Cilium 安全性与可观测性测验

支持的版本: Cilium 1.17 最后更新: February 22, 2026

网络策略基础

1. Kubernetes NetworkPolicy 与 Cilium NetworkPolicy 的主要区别是什么？

   • A) Cilium NetworkPolicy 不支持 L7 策略
   • B) Kubernetes NetworkPolicy 不支持 L7 策略
   • C) Cilium NetworkPolicy 只能应用于特定 Node
   • D) Kubernetes NetworkPolicy 提供更高的性能
   显示答案

   答案: B) Kubernetes NetworkPolicy 不支持 L7 策略

   说明: Kubernetes NetworkPolicy 仅支持 L3/L4 层级策略，而 Cilium NetworkPolicy 支持从 L3 到 L7 的更广泛策略。

2. Cilium NetworkPolicy 的 API group 是什么？

   • A) networking.k8s.io
   • B) cilium.io
   • C) policy.cilium.io
   • D) network.cilium.io
   显示答案

   答案: B) cilium.io

   说明: Cilium NetworkPolicy 使用 cilium.io API group。

3. Cilium NetworkPolicy 中的 'endpointSelector' 的作用是什么？

   • A) 选择策略适用的目标 Pod
   • B) 选择策略适用的目标 Node
   • C) 选择策略适用的目标 namespace
   • D) 选择策略适用的目标 Service
   显示答案

   答案: A) 选择策略适用的目标 Pod

   说明: endpointSelector 用于选择策略适用的目标 Pod（endpoint）。

4. Cilium NetworkPolicy 中的 'ingress' 规则控制什么？

   • A) 进入所选 Pod 的流量
   • B) 从所选 Pod 发出的流量
   • C) 所选 Pod 内部的流量
   • D) 发往 cluster 外部的流量
   显示答案

   答案: A) 进入所选 Pod 的流量

   说明: Ingress 规则控制进入所选 Pod 的流量。

5. Cilium NetworkPolicy 中的 'egress' 规则控制什么？

   • A) 进入所选 Pod 的流量
   • B) 从所选 Pod 发出的流量
   • C) 所选 Pod 内部的流量
   • D) 从 cluster 外部发出的流量
   显示答案

   答案: B) 从所选 Pod 发出的流量

   说明: Egress 规则控制从所选 Pod 发出的流量。

L7 策略

6. 在 Cilium 的 L7 HTTP 策略中，哪个属性无法被过滤？

   • A) Path
   • B) Method
   • C) Headers
   • D) Response Time
   显示答案

   答案: D) Response Time

   说明: Cilium 的 L7 HTTP 策略可以过滤 path、method 和 headers 等 HTTP request 属性，但 response time 不是过滤目标。

7. 在 Cilium 的 L7 Kafka 策略中，哪个属性可以被过滤？

   • A) Topic
   • B) Partition
   • C) Offset
   • D) 以上全部
   显示答案

   答案: A) Topic

   说明: Cilium 的 L7 Kafka 策略主要可以基于 topic、API key 和类似属性进行过滤。

8. Cilium 的 L7 DNS 策略中的 'matchPattern' 规则允许什么？

   • A) 精确域名匹配
   • B) 使用通配符的域名模式匹配
   • C) IP address 匹配
   • D) Port number 匹配
   显示答案

   答案: B) 使用通配符的域名模式匹配

   说明: matchPattern 规则可以匹配包含通配符 (*) 的域名模式。示例：*.example.com

9. 应用 Cilium 的 L7 策略需要哪个组件？

   • A) kube-proxy
   • B) Envoy proxy
   • C) NGINX ingress controller
   • D) HAProxy
   显示答案

   答案: B) Envoy proxy

   说明: Cilium 使用 Envoy proxy 应用 L7 策略。

10. Cilium 的 L7 策略不支持以下哪种协议？

    • A) HTTP
    • B) gRPC
    • C) Kafka
    • D) SMTP
    显示答案

    答案: D) SMTP

    说明: Cilium 支持 HTTP、gRPC 和 Kafka 等 L7 协议，但默认不支持 SMTP。

加密与安全性

11. Cilium 可以使用哪些协议对网络流量进行加密？

    • A) IPsec
    • B) WireGuard
    • C) A 和 B 均可
    • D) TLS
    显示答案

    答案: C) A 和 B 均可

    说明: Cilium 可以同时使用 IPsec 和 WireGuard 加密 Node 间流量。

12. Cilium 的加密功能保护什么流量？

    • A) 仅 Node 间流量
    • B) 仅 Pod 间流量
    • C) 仅 Node 到 Pod 的流量
    • D) 所有 cluster 流量
    显示答案

    答案: B) 仅 Pod 间流量

    说明: Cilium 的加密功能主要保护 Pod 间流量。

13. Cilium 的 Host Firewall 功能保护什么？

    • A) Pod 网络接口
    • B) Host 网络接口
    • C) Service endpoint
    • D) Container runtime
    显示答案

    答案: B) Host 网络接口

    说明: Cilium 的 Host Firewall 保护 Host 自身的网络接口，从而增强 Host 层级的安全性。

14. 以下描述对应哪项 Cilium 安全功能？“基于特定应用层协议的特定字段或模式过滤流量”

    • A) 网络策略
    • B) L7 策略
    • C) 加密
    • D) 入侵检测
    显示答案

    答案: B) L7 策略

    说明: L7（应用层）策略可以基于 HTTP、gRPC 和 Kafka 等协议中的特定字段或模式过滤流量。

15. Cilium 基于 Identity 的安全模型基于什么？

    • A) Pod 名称
    • B) Node 名称
    • C) Labels
    • D) IP address
    显示答案

    答案: C) Labels

    说明: Cilium 的 Identity 基于 Pod labels，即使 IP address 发生变化，也能应用一致的安全策略。

可观测性与监控

16. Hubble 是什么？

    • A) Cilium 的网络可观测性工具
    • B) Cilium 的 load balancer
    • C) Cilium 的加密协议
    • D) Cilium 的 DNS server
    显示答案

    答案: A) Cilium 的网络可观测性工具

    说明: Hubble 是 Cilium 的网络可观测性工具，可以基于 eBPF 观察和分析网络流。

17. Hubble UI 不提供以下哪项功能？

    • A) Service 依赖关系图
    • B) 网络流可视化
    • C) 策略违规告警
    • D) 代码 Deployment 管理
    显示答案

    答案: D) 代码 Deployment 管理

    说明: Hubble UI 提供 Service 依赖关系图、网络流可视化和策略违规告警，但不提供代码 Deployment 管理。

18. 使用 Hubble CLI 观察特定 Pod 网络流的命令是什么？

    • A) hubble observe --pod <pod-name>
    • B) hubble watch --pod <pod-name>
    • C) hubble monitor --pod <pod-name>
    • D) hubble inspect --pod <pod-name>
    显示答案

    答案: A) hubble observe --pod <pod-name>

    说明: hubble observe --pod <pod-name> 命令可以实时观察特定 Pod 的网络流。

19. Hubble 不收集以下哪项指标？

    • A) HTTP status codes
    • B) TCP connection status
    • C) Dropped packet count
    • D) Container CPU usage
    显示答案

    答案: D) Container CPU usage

    说明: Hubble 收集与网络相关的指标（HTTP status codes、TCP connection status、dropped packet count 等），但不收集 Container CPU usage 等系统指标。

20. 如何将 Cilium 与 Prometheus 集成？

    • A) 向 Cilium Operator 添加 Prometheus annotations
    • B) 在 Prometheus server 上安装 Cilium plugin
    • C) 为 Cilium 创建 ServiceMonitor resource
    • D) 将 Cilium dashboard 导入 Prometheus
    显示答案

    答案: C) 为 Cilium 创建 ServiceMonitor resource

    说明: 使用 Prometheus Operator 时，可以通过为 Cilium 创建 ServiceMonitor resource 来收集 Cilium metrics。