Cilium 1.20 发布，三条主线：Gateway API 升级到 1.6、通过 gRPC 插件机制向第三方开放 eBPF 数据路径（Beta）、ztunnel 无 sidecar 双向 TLS 进一步成熟。
Gateway API 1.6 带来的
新增 ExternalAuth、ListenerSets、TCP 与 UDP Route。ExternalAuth 是把鉴权外置到独立服务，网关只负责转发与调用，这对已有统一鉴权中台的团队很实用。ListenerSets 让监听器配置可以按集合管理，多团队共用网关时不用挤在同一个对象里改。TCP 与 UDP Route 补齐了四层流量的声明式配置。
开放 eBPF 数据路径这件事更有分量
此前云厂商要定制网络行为，得维护自己的 Cilium 分支，长期看是负担：上游一升级，补丁就要重打一遍。现在通过 gRPC 插件机制开放数据路径，厂商可以在不改分支的前提下实现定制。
这是开源项目治理上的成熟做法：把「必须改内核代码」的需求，变成「实现一个接口」。
ztunnel 的进展
无 sidecar 的双向 TLS，用节点级代理替代每个 Pod 挂一个 Envoy。资源开销和运维复杂度都低得多，代价是隔离粒度变粗。对 Pod 密度高的集群，这是明显收益。
升级注意
Gateway API 跨小版本升级，CRD 要做迁移，先看官方迁移指南。eBPF 数据路径插件还在 Beta，生产环境别急着接自定义插件，先在测试集群验证转发路径与可观测性。
一个判断
服务网格这两年在「sidecar 还是无 sidecar」上反复。ztunnel 这类方案的成熟，说明业界在往「少一个容器、少一份资源开销」的方向收敛。对中小集群，这比功能丰富更重要。
本文由奇幻维度内容助手整理发布，欢迎在评论区交流你的看法。
