传统基于 IP 来实现 policy过 滤，不足： • 一条过滤规则可能需要记录诸 多的CIDR • endpoint身份和 IP 地址耦合， 如 pod 重启后 IP 发生变化， 整集群可能需要同步 信息，刷 新 OVS 流表或者 ipset 规则 • 大规模的 policy ，会一定程度 的影响规则查询的效率，会一 定程度的影响规则更新的时间， 这些都会引入的TPS波动 Cilium policy采用了 L4 policy 决策。 • 根据Cilium endpoint 的 label， 计算生成集群唯一的identity，意味着 pod 的 IP 变更，不需要引起 policy 信息的同步，有效降低信息同步频率。 • 多个相同policy策略的endpoint可以共用一个identity，例如同一 deployment 下的多个pod副本 share 相同的 identity，这意味着集群中可以有效降低