RATATOSKRATATOSK
ログイン

Cilium

v1.19.0Networking & Messaging
2026年2月4日

CHECK 3PLAN 2OTHER 28

v1.19.0は、ネットワーク、暗号化、可観測性、運用、性能に関わる機能を拡張したリリースです。いくつかのデフォルトや制約が変わり、ポリシーフィールドの非推奨化と旧APIの削除も含まれています。

影響確認 (3)

  • breakingネットワークポリシーセレクターのクラスター範囲のデフォルト変更

    ネットワークポリシーのセレクターで、クラスターを明示せずに通信を許可している場合に該当します。

    通信先のクラスターを指定しないネットワークポリシーセレクターは、ローカルクラスターだけに通信を許可する設定がデフォルトになりました。

  • breakingMutual Authenticationのデフォルト無効化

    アウトオブバンドのMutual Authentication機能を使用している場合に該当します。

    アウトオブバンドのMutual Authentication機能は、デフォルトで無効になりました。

  • breakingCiliumBGPPeeringPolicy v1 APIの削除

    旧式のCiliumBGPPeeringPolicy v1 APIを使用している場合に該当します。

    旧式のCiliumBGPPeeringPolicy v1 APIのサポートが削除されました。cilium.io/v2のAPIへの置き換えが必要です。

事前準備 (2)

  • deprecatedKafkaプロトコルのマッチフィールドの非推奨化

    ネットワークポリシーでKafkaプロトコルのマッチフィールドを使用している場合に該当します。

    Kafkaプロトコルのマッチフィールドが非推奨になりました。

  • deprecatedToRequiresとFromRequiresの非推奨化

    ポリシーフィールドのToRequiresまたはFromRequiresを使用している場合に該当します。

    ポリシーフィールドのToRequiresとFromRequiresが非推奨になりました。

その他の記録済み変更 28 件すべてadditions 16 · constraints 7 · value changes 5

additions (16)

  • DNS Policies match pattern now support a wildcard prefix(***.*) to match multilevel subdomain as pattern prefix.
  • When Network Policies deny a connection, Cilium can return ICMPv4 "Destination unreachable" messages for a friendlier deny.
  • Both IPsec and WireGuard transparent encryption modes now support a "strict mode" to require traffic to be encrypted between nodes.
  • You can enroll namespaces into Ztunnel, which enables TCP connections between workloads to be transparently encrypted and authenticated.
  • Leverage upcoming Linux support for BIG TCP when communicating over UDP-based tunnels such as VXLAN and Geneve.
  • Detect maximum transmission unit (MTU) sizes for network paths using TCP.
  • addresses in IPAM pools can be excluded from masquerade
  • There's a new Interface BGP advertisement type that allows advertisement of IPs assigned on local interfaces.
  • You can override the auto-generated BGP session source IP with the IP address applied on the configured sourceInterface
  • Optionally withdraw BGP routes when a service has 0 endpoints
  • Configure Cilium and Hubble to trace specific packets through the cluster using IP Options.
  • Filter flows when using the hubble command line to understand the encryption status of the traffic, either --encrypted or --unencrypted.
  • Helm charts are also available under
  • Add TLS/mTLS support for Prometheus metrics exposed by the Cilium Operator.
  • There's now support for auto-installing the Custom Resource Definitions (CRDs) for Multi-Cluster Services (MCS).
  • Streamline Cluster Mesh and Hubble certificate generation when using GitOps approaches.

constraints (7)

  • You can now match VRRP and IGMP protocols in host firewall rules.
  • The IPsec encryption mode now supports BPF Host Routing for faster route lookups
  • You can now choose IPv6 for the tunnel underlay address family on dual-stack clusters.
  • IP Masquerade configuration can now be customized for traffic sent to nodes in other IP subnets
  • Add support for Neighbor Discovery Advertisements for IPv6 Layer-2 Announcements.
  • Pods can now connect to themselves via a Kubernetes "loopback service" using IPv6.
  • Cilium's GAMMA support now includes support for using GRPCRoute as well as HTTPRoute.

value changes (5)

  • promote it from Beta to Stable.
  • Hubble v1.Events drop messages now include which Network Policy caused the drop.
  • Improve Cilium resource usage for handling selectors in network policies.
  • Several improvements have been made to reduce the number of connections being tracked by Cilium, particularly when using Geneve, VXLAN or WireGuard.
  • Reduce memory usage for cilium-operator in large AWS environments with many resources.
Ciliumをスタックに追加

対応が必要なリリースが出たときに、週次メールでお知らせします。 今回の破壊的変更も、その一例です。

スタックに追加 →
公式リリースノート ↗Ciliumのリリース一覧 →