Belajar Cilium - Hubble Observability

#Pendahuluan

Policy yang kita buat di episode 6 perlu dibuktikan, dan itulah alasan utama keberadaan Hubble. Hubble adalah lapisan observability Cilium yang membaca flow logs langsung dari dataplane eBPF. Setiap koneksi yang melalui Cilium menghasilkan sebuah flow: siapa sumbernya, ke mana tujuannya, protokol apa, dan apa keputusan dataplane — diizinkan atau di-drop.

Episode 7 membahas cara mengaktifkan Hubble, membaca flow dengan hubble observe, memakai Hubble UI, dan yang paling penting: menjadikan flow logs sebagai bukti untuk memverifikasi policy dan menemukan traffic yang ter-drop.

#Mengaktifkan Hubble

Hubble tidak aktif secara default saat instalasi Cilium. Aktifkan lewat Cilium CLI dengan UI sekaligus:

cilium hubble enable --ui

cilium hubble enable --ui menginstall komponen Hubble relay dan Hubble UI. Relay mengumpulkan flow dari semua agent dan menyediakan API untuk CLI maupun UI. Proses ini memakan waktu beberapa menit hingga pod hubble-relay siap.

Jika memakai Helm, konfigurasi yang setara adalah hubble.relay.enabled=true dan hubble.ui.enabled=true. Apapun metodenya, pastikan semuanya siap sebelum lanjut:

kubectl get pods -n kube-system -l k8s-app=hubble-relay
kubectl get pods -n kube-system -l k8s-app=hubble-ui

kubectl get pods -n kube-system -l k8s-app=hubble-relay harus menampilkan relay dengan status Running sebelum kita memakai hubble CLI.

#hubble status dan hubble observe

Setelah Hubble aktif, periksa status koneksi CLI ke relay:

hubble status

hubble status menampilkan versi relay dan jumlah flow yang sedang ditangani. Jika menampilkan error, periksa port-forward atau konfigurasi koneksi.

Untuk melihat flow secara langsung, gunakan hubble observe:

hubble observe --since 5m

hubble observe --since 5m menampilkan flow 5 menit terakhir dengan format: waktu, sumber, tujuan, protokol, dan verdict. Jika belum ada traffic, jalankan kembali curl antar pod dari episode 4 atau episode 6 untuk menghasilkan flow baru.

#Memahami Flow Logs

Satu baris flow log berisi informasi penting yang perlu kalian biasakan membaca:

• Source dan destination: endpoint atau IP yang berkomunikasi.
• Protocol dan port: misalnya TCP 8080 atau HTTP GET.
• Identity: angka identity yang terlibat di kedua ujung.
• Verdict: FORWARDED berarti diizinkan, DROPPED berarti ditolak policy.
• Drop reason: alasan penolakan, biasanya Policy denied.

Untuk flow yang lebih detail, format JSON memberikan semua field termasuk label:

hubble observe --since 10m --output json

hubble observe --output json menghasilkan output lengkap yang cocok untuk diproses dengan jq atau pipeline otomatis — pola yang akan dipakai lagi saat observability production di episode 21.

#Hubble UI

Hubble UI menyediakan dashboard visual berbasis browser. Setelah port-forward, buka di browser:

cilium hubble ui --open

cilium hubble ui --open melakukan port-forward ke Hubble UI dan membukanya di browser. Di dashboard kalian bisa melihat peta cluster, memfilter flow berdasarkan namespace, service, atau identity, dan mengamati pola traffic secara visual. UI memakai data dari relay yang sama, jadi informasi yang tampil konsisten dengan hubble observe.

#Menemukan Traffic Ter-Drop

Fungsi paling berharga Hubble untuk pengelola policy: menemukan traffic yang ditolak. Filter verdict sangat membantu:

hubble observe --verdict DROPPED --since 30m

hubble observe --verdict DROPPED menampilkan hanya flow yang di-drop oleh dataplane, lengkap dengan alasan penolakan. Ini cara tercepat untuk menjawab pertanyaan klasik: "kenapa aplikasi saya tidak bisa saling terhubung?" — biasanya jawabannya ada di sini, bukan di log aplikasi.

Kombinasikan filter untuk mempercepat diagnosis:

hubble observe --verdict DROPPED --namespace default

hubble observe --verdict DROPPED --namespace default mempersempit pencarian ke satu namespace. Pola ini akan menjadi refleks pertama kalian saat troubleshoot policy di episode 19.

#Penutup

Inti yang harus dibawa pulang:

• Hubble membaca flow logs langsung dari dataplane eBPF tanpa agent tambahan.
• cilium hubble enable --ui mengaktifkan relay dan dashboard.
• hubble observe menampilkan flow; hubble status mengecek koneksi relay.
• Satu flow berisi source, destination, protocol, identity, verdict, dan drop reason.
• Hubble UI memberi tampilan visual lewat cilium hubble ui --open.
• hubble observe --verdict DROPPED adalah pintu utama troubleshooting policy.

Di episode 8 selanjutnya kita akan membahas kube-proxy replacement dan dasar service mesh — bagaimana Cilium mereplikasi ClusterIP, NodePort, dan LoadBalancer lewat eBPF dengan socket load balancing, session affinity, dan DSR, serta konfigurasi kube-proxy-replacement: strict dan kompatibilitas dengan cloud load balancer. Ini mengubah cara Service bekerja di cluster kalian secara fundamental.