Kubernetes网络插件选择与区别之Calico网络插件详解 上集
Kubernetes 的网络插件（CNI，Container Network Interface）负责实现 Pod 间、Service 和外部网络的通信。以下是主流网络插件及其区别，以及常用推荐：
1.主流网络插件及区别
| 网络插件 | 核心特点 | 网络模型 | 关键技术 | 适用场景 |
|---|---|---|---|---|
| Flannel | 简单轻量，配置少，但功能有限（如不支持网络策略） | Overlay（默认） | VXLAN、Host-gw | 小集群、快速搭建、低复杂度需求 |
| Calico | 高性能，支持网络策略（NetworkPolicy），BGP 路由 | 混合（Overlay/Underlay） | BGP、IP-in-IP、VXLAN | 中大型集群、需要安全策略或混合云环境 |
| Cilium | 基于 eBPF，高性能，支持网络策略、服务网格、可观测性 | 混合 | eBPF、VXLAN | 高安全要求、微服务架构、云原生环境 |
| Weave Net | 自动加密通信，支持多播，但性能略低 | Overlay | 自研数据包路由（FastDP） | 需要加密或小型集群 |
| Canal | Calico + Flannel 组合（Calico 的网络策略 + Flannel 的 Overlay 网络） | Overlay | VXLAN、BGP | 需平衡简单性与策略能力的场景 |
| Antrea | 基于 Open vSwitch（OVS），支持高级网络策略和监控 | Overlay/Underlay | Geneve、STT | VMware 环境或需 OVS 功能的场景 |
| AWS VPC CNI | 直接分配 AWS VPC IP 给 Pod，无 Overlay 开销 | Underlay | AWS VPC 集成 | AWS EKS 环境，追求高性能和 IP 直通 |
1.1关键区别
- 网络模型：
- Overlay（如 Flannel、Weave）：通过隧道封装流量，适合跨子网环境，但有一定性能损耗。
- Underlay（如 Calico BGP、AWS VPC CNI）：直接路由 Pod IP，性能更高，依赖底层网络支持。
- 功能支持：
- 网络策略：Calico、Cilium、Antrea 支持 Kubernetes NetworkPolicy，Flannel 不支持。
- 加密：Weave Net 默认支持，其他插件需结合其他工具（如 IPsec）。
- 服务网格集成：Cilium 原生支持服务网格（如 Istio）。
- 性能：
- eBPF（Cilium）：绕过 iptables，提升吞吐量和延迟。
- BGP（Calico）：适合大规模集群，路由效率高。
- 云集成：
- 云厂商插件（如 AWS VPC CNI）直接利用云网络，但绑定特定平台。
常用插件
- Calico：最流行的选择之一，兼顾性能、灵活性和网络策略支持，适合多数生产环境。
- Cilium：增长迅速，适用于需要 eBPF 高性能、可观测性和安全能力的场景（如服务网格）。
- Flannel：适合快速搭建测试集群或简单需求。
- 云厂商 CNI：如 AWS VPC CNI 在 EKS 中广泛使用，GKE 和 AKS 也有集成方案。
选择建议
- 简单需求：Flannel 或 Canal。
- 生产环境（通用）：Calico（需网络策略）或 Cilium（需 eBPF 高级功能）。
- 云环境：优先使用云厂商提供的 CNI（如 AWS VPC CNI）。
- 安全与可观测性：Cilium 或 Calico + Istio。
根据集群规模、网络策略需求及底层基础设施灵活选择。
2.flannel与calico的区别
Flannel 和 Calico 是 Kubernetes 中最常用的两种网络插件（CNI），但它们在设计理念、实现方式及适用场景上有显著区别。以下是两者的详细对比：
1. 核心设计目标
| 特性 | Flannel | Calico |
|---|---|---|
| 定位 | 简单、轻量，快速搭建 Pod 网络 | 高性能、安全，支持复杂网络策略 |
| 核心目标 | 解决 Pod 间基本通信问题 | 提供企业级网络策略和路由控制 |
2. 网络模型
| 特性 | Flannel | Calico |
|---|---|---|
| 网络类型 | Overlay 网络（默认 VXLAN） | 混合模式（BGP 路由为主，可选 Overlay） |
| 实现方式 | - 通过隧道（VXLAN、UDP 等）封装流量 - Host-gw 模式直接路由（需同子网） | - 基于 BGP 协议的路由（直接传递 Pod IP） - 可选 IP-in-IP 或 VXLAN 封装跨子网 |
| 性能损耗 | - VXLAN/UDP 模式有隧道开销（约 10-20%） - Host-gw 模式无损耗（需同子网） | - BGP 路由无隧道开销（性能接近物理网络） - IP-in-IP/VXLAN 有少量开销 |
3. 功能支持
| 特性 | Flannel | Calico |
|---|---|---|
| 网络策略（NetworkPolicy） | 不支持（需额外安装 Calico 等插件） | 原生支持（定义 Pod 间的访问规则） |
| 服务发现 | 依赖 Kubernetes Service | 支持 Service 和更灵活的路由策略 |
| 多租户隔离 | 无内置支持 | 通过 NetworkPolicy 实现 |
| 跨集群通信 | 需额外配置 | 支持 BGP 跨集群路由（需底层网络配合） |
| 加密通信 | 不支持（需结合其他工具如 WireGuard） | 支持 WireGuard 加密 |
4. 适用场景
| 场景 | Flannel | Calico |
|---|---|---|
| 小型/测试集群 | 简单快速部署，资源消耗低 | 功能冗余，配置复杂 |
| 生产环境 | 仅适合无安全策略的简单场景 | 主流选择，支持网络策略和高性能 |
| 混合云/跨子网 | 需依赖 Overlay 隧道（性能较低） | BGP 路由或 VXLAN 灵活适配 |
| 安全需求 | 需额外工具（如 Calico 的 NetworkPolicy） | 原生支持网络隔离和策略 |
5. 性能对比
| 指标 | Flannel | Calico |
|---|---|---|
| 延迟 | Overlay 模式较高（隧道封装） | BGP 路由模式接近物理网络延迟 |
| 吞吐量 | 受限于隧道性能 | 接近线速（无封装时） |
| 扩展性 | 适合小规模集群（千节点以下） | 支持超大规模集群（万级节点） |
6. 典型架构图
Flannel
复制
Pod A (10.244.1.2) → VXLAN 隧道封装 → Node 2 → Pod B (10.244.2.3)
- 所有跨节点流量通过隧道封装，依赖 etcd 维护子网分配。
Calico
复制
Pod A (192.168.1.2) → BGP 路由 → Node 2 → Pod B (192.168.2.3)
- 节点间通过 BGP 协议交换路由表，Pod IP 直接可达。
7. 选择建议
- 选择 Flannel 的场景：
- 快速搭建测试集群。
- 无需网络策略（如内部可信环境）。
- 资源有限，追求极简部署。
- 选择 Calico 的场景：
- 生产环境（需网络隔离和策略）。
- 跨子网或混合云环境。
- 高性能需求（如金融、游戏等场景）。
总结
- Flannel：简单、够用，是 Kubernetes 网络的“瑞士军刀”，但功能有限。
- Calico：企业级选择，提供网络策略、高性能路由和安全能力，适合复杂环境。
两者甚至可以结合使用（如 Canal 项目：Flannel 提供网络，Calico 提供策略），但通常推荐直接使用 Calico 以获得完整功能。
BGP（Border Gateway Protocol，边界网关协议）是互联网中用于在不同自治系统（AS, Autonomous Systems）之间交换路由信息的核心协议
BGP 在 Calico 中的实际应用
- 场景：Kubernetes 集群中，节点分布在多个子网。
- 流程：
- 节点作为 BGP 路由器：每个节点运行 BGP 客户端（如 Calico 的
BIRD）。 - 路由通告：节点将本机 Pod 子网（如
10.244.1.0/24）通过 BGP 通告给其他节点。 - 路由学习：其他节点收到路由后，将目标为
10.244.1.0/24的流量直接转发到对应节点。 - 直接通信：跨节点 Pod 流量通过底层网络直接路由，无需隧道封装。
- 节点作为 BGP 路由器：每个节点运行 BGP 客户端（如 Calico 的