CNI auswählen oder wechseln
Cilium oder ein anderes passendes CNI. Die Auswahl ordnet der Ratgeber Cilium vs. Calico ein.
Network Policies
Namespace-Grenzen, Default-Deny und die notwendigen Flows.
Cilium als CNI: Network Policies und Hubble im Cluster
Kurz gesagt: CNI-Auswahl, Network Policies mit Default-Deny und Netzwerk-Observability für Kubernetes, mit Cilium oder einem anderen passenden CNI.
- Cilium oder passendes CNI
- Default-Deny und Namespace-Grenzen
- Notwendige Flows freigeben
- Netzwerk-Observability mit Hubble
Ausgangslage
Wann das Cluster-Netzwerk Aufmerksamkeit braucht
Typische Lagen, in denen CNI und Policies nachgezogen werden.
Die CNI-Wahl steht an
Das CNI wird beim Aufbau des Clusters gewählt, ein späterer Wechsel ist eine Migration.
Alles darf mit allem sprechen
Ohne Network Policies sind Namespaces nicht getrennt. Policies wirken nur, wenn das CNI sie durchsetzt (Network Policies).
Das CNI läuft, die Policies fehlen
Die Installation ist erledigt, aber niemand hat Default-Deny und die notwendigen Flows definiert.
Flows sind nicht sichtbar
Wer eine Verbindung freigeben oder sperren will, muss wissen, welche Flows es gibt.
Leistungen
Was die Cilium-Leistung umfasst
CNI und Network Policies im Cluster. Die breitere Netzwerkplanung mit Ingress, DNS und privatem Zugang steht unter Netzwerk und Secure Access.
Netzwerk-Observability
Flows sichtbar machen, bei Cilium mit Hubble.
CNI im Betrieb
Im Betrieb gehört das CNI zu den Add-ons: Upgrades laufen als geplante Änderung mit Kompatibilitätsprüfung gegen die Kubernetes-Version.
Service Mesh gehört nicht zum Umfang dieser Seite. Die Einordnung von Istio, Linkerd und Cilium steht im Ratgeber. Ingress, Gateway API, DNS und privater Zugang sind Teil von Netzwerk und Secure Access.
Ablauf
Vier Schritte zu klaren Netzwerkregeln
Vom Ist-Stand bis zur dokumentierten Policy.
- 01
Ist-Stand erfassen
CNI und Version, vorhandene Policies, Namespaces und Kommunikationsbeziehungen.
- 02
Zielbild festlegen
CNI, Namespace-Grenzen und Default-Deny.
- 03
Policies einführen
Notwendige Flows werden freigegeben, der Rest bleibt gesperrt.
- 04
Übergeben
Dokumentation der Regeln und der Pfad für CNI-Upgrades.
Einordnung
Eigenbetrieb oder Unterstützung beim CNI
Ein Cluster mit einem bekannten CNI und gepflegten Policies braucht keine Unterstützung.
Eigenbetrieb
Eigenbetrieb genügt, wenn
- ein Cluster mit einem CNI läuft, das das Team kennt
- Default-Deny und freigegebene Flows umgesetzt und dokumentiert sind
- CNI-Upgrades gegen die Kubernetes-Version geprüft werden
Unterstützung
Unterstützung sinnvoll ist, wenn
- ein CNI-Wechsel ansteht
- Policies fehlen oder nie gegen echte Flows geprüft wurden
- die Sicht auf das Netzwerk fehlt
Einstieg
Netzwerk als Projekt, Prüfung im Cluster-Audit
CNI und Network Policies werden unter Netzwerk und Secure Access umgesetzt. Ob die Policies im Cluster greifen, prüft das Cluster-Audit: Network Policies, Trennung der Namespaces und von außen erreichbare Dienste.
Cluster-Auditab 1.490 € netto einmaligKonfigurations-Review mit Bericht, kein Penetrationstest
Alle Preise verstehen sich netto zuzüglich gesetzlicher Umsatzsteuer. Die Angebote richten sich an Unternehmen. Stand Oktober 2026.
Alternativ
ProjektNetzwerk und Secure Access
CNI, Network Policies und Netzwerk-Observability als Projekt, Umfang und Vergütung nach einer ersten Einordnung.
Netzwerk ansehen →EinzelfragenKubernetes Support
Fragen zur CNI-Auswahl oder zu einem Wechsel ohne Vertrag, 120 € netto je Stunde.
Support ansehen →Häufige Fragen
Antworten auf die wichtigsten Fragen
- Die Entscheidung fällt beim Aufbau des Clusters, weil ein späterer Wechsel eine Migration ist. Eine Gegenüberstellung mit Entscheidungsregel steht im Ratgeber Cilium vs. Calico.
- Network Policies sind eine Kubernetes-Ressource, die das CNI durchsetzen muss. Ohne ein CNI, das sie unterstützt, haben sie keine Wirkung (Network Policies). Cilium bringt eine eigene Policy-Sprache mit.
- Hubble ist die Netzwerk-Observability von Cilium und macht die Kommunikation zwischen Services sichtbar (Hubble).
- Service Mesh ist nicht Teil dieser Leistung. Die Einordnung von Istio, Linkerd und Cilium steht im Ratgeber. Die ersten Schritte ohne Mesh, Gateway API am Rand und Default-Deny mit Network Policies, gehören zu Netzwerk und Secure Access.
- CNI und Policies werden als Projekt unter Netzwerk und Secure Access umgesetzt, Umfang und Vergütung werden nach einer ersten Einordnung vereinbart. Die Prüfung im Cluster-Audit kostet ab 1.490 € netto einmalig, Einzelfragen im Support 120 € netto je Stunde.
Wissen
Ratgeber und Quellen zu Cilium
CNI-Vergleich, Mesh-Einordnung und Dokumentation.
Ratgeber
Primärquellen
Angrenzende Leistungen
- Netzwerk & Secure AccessCNI, Network Policies, Ingress, DNS und privater Zugang.
- Managed KubernetesBetrieb bestehender und gehosteter Cluster mit Upgrades, Backups und Härtung.
- Kubernetes Cluster-AuditKonfigurations-Review mit Bericht, kein Penetrationstest.
- Kubernetes SupportHilfe nach Aufwand ohne laufenden Vertrag.
Bewertungen & Projekte
Betrieb, der Kunden spürbar entlastet
Kundenstimmen zu Monitoring, Updates, Wartung, Support und stabilen produktiven Systemen.
Vernetzung & Provisioning
WZ-IT hat unsere Studio-Infrastruktur von dezentralen Einzelgeräten auf eine zentrale Plattform gehoben: Jeder Standort ist per VPN sicher angebunden, neue Geräte werden automatisiert onboardet und ein kompletter Standort wird per Vorlage provisioniert - ohne manuelle Schritte vor Ort. Was mich am meisten beeindruckt hat, ist die Breite und Tiefe des Wissens: Timo und Robin sind kein normaler IT-Dienstleister, der einen Server aufsetzt und wieder geht. Die beiden denken sich in hochkomplexe Infrastruktur- und Softwarethemen rein, arbeiten sich in jede Anforderung ein, die wir ihnen hinlegen, und bauen Vernetzung, Provisioning und Betrieb so auf, dass am Ende alles zusammenpasst. WZ-IT ist ein hervorragender Partner, wenn es um komplexe Software-, Netzwerk- und Architekturprojekte geht.
Steve KirchnerGeschäftsführer, nextGYM GmbH
International
Gebaut im Ruhrgebiet. Produktiv weltweit.
WZ-IT plant, entwickelt und betreibt Infrastruktur und Software für Kunden in Deutschland und international. Projekte setzen wir remote um und begleiten sie auch nach dem Go-live im laufenden Betrieb.
Ausgewählte Projekte
- LiveRemote-Access-Plattform für verteilte WasseraufbereitungsanlagenABCO Water Systems · Australien · Secure Access & OT
- 81%AWS-Migration mit deutlich geringeren laufenden KostenEVA Real Estate · VAE · Cloud-Exit & Infrastruktur
- 98%Neue Standorte in Minuten statt Stunden bereitstellennextGYM GmbH · Deutschland · Automatisierung & IoT
Kundenstimmen ansehen
Anfrage
Welches CNI läuft, und was soll sich ändern?
Für eine erste Einordnung genügen CNI, Kubernetes-Version und Ziel.
- Direkt mit Timo und Robin - kein Vertrieb, kein Sales-Pitch
- Fachliche Einschätzung Ihrer Situation
- Konkrete nächste Schritte für Infrastruktur, Software oder KI
Das Gespräch ist unverbindlich und kostenlos.
Die Beratung von WZ-IT zu unserer Azure-Migration war schon im Erstgespräch fachlich sehr fundiert und völlig unverbindlich - wir haben eine Menge mitgenommen.
Jakob ÖschlbergerInno7 GmbH
Die Beratung von WZ-IT zu unserer Azure-Migration war schon im Erstgespräch fachlich sehr fundiert und völlig unverbindlich - wir haben eine Menge mitgenommen.