Calico

定义

Calico 是广泛使用的开源容器网络方案,由 Tigera 公司维护,常作为 Kubernetes 的 CNI 插件,提供 Pod 网络互通与网络策略(NetworkPolicy)执行能力。

原理

Calico 的特色是纯三层(L3)路由模型:不依赖 Overlay 封装,而是把每个 Pod 的 IP 作为真实路由,通过节点上的 Felix 代理下发路由与策略规则,并可用 BGP 协议(BIRD 组件)在节点间乃至与物理网络设备交换路由。在无法运行 BGP 的环境中,也支持 IPIP 或 VXLAN 封装模式。数据平面可选标准 Linux(iptables)、eBPF 甚至 Windows HNS。

功能

Calico 完整实现并扩展了 Kubernetes NetworkPolicy,支持全局策略、按命名空间/标签的细粒度访问控制,是集群内微隔离的常用手段。

特点

优点是无封装模式性能好、与传统网络设备互通、策略能力成熟;与 Cilium 相比,其 eBPF 数据面起步稍晚,但整体更为保守稳健,部署案例极多。