weixin_42587823的博客

BGP 是一个复杂但极其强大的协议。它以自治系统 (AS)为基本单位，通过路径向量 (AS_PATH机制，在保证无环路的前提下，实现了全球网络的互联互通。其强大的策略控制能力（通过各种路径属性）是它与其他路由协议的根本区别。理解eBGP（用于 AS 间）和iBGP（用于 AS 内，通常需要路由反射器）的差异，是掌握 BGP 的关键。从最初设计用于连接整个互联网，到如今被巧妙地应用于我们 Kubernetes 集群的内部，BGP 展现了其强大的生命力和灵活性。理解 BGP，就是理解现代网络世界的运转之道。

今天，我们为 Calico 的学习之旅画上了圆满的句号。我们不再仅仅是 Calico 的使用者，更成为了它的“运维官”和“诊断医生”。我们学习了需要监控哪些核心指标，掌握了calicoctl这把瑞士军刀的用法，并对几个最常见的生产问题建立了系统性的排障思路。

今天，我们探索了 Calico 的灵活性和前沿性。我们了解到，除了经典的 BGP 模式，它还提供了IPIP/VXLAN 覆盖网络模式，以适应各种复杂的网络环境。更重要的是，我们深入了其代表着未来的高性能 eBPF 数据平面，理解了它是如何通过取代iptables和kube-proxy来实现更高性能、保留源 IP 等强大特性的。这展示了 Calico 作为一个技术项目，在云原生网络领域的持续演进和领先地位。至此，我们已经全面掌握了 Calico 的网络模型和安全策略。

本文深入探讨了Calico网络策略的实现原理及其扩展功能。主要内容包括：1) Calico通过Felix组件将声明式策略转换为高效的iptables规则，利用ipset优化性能；2) 对比Kubernetes原生NetworkPolicy的默认拒绝机制；3) 重点介绍了Calico特有的增强功能，包括支持策略顺序(order)的NetworkPolicy、集群范围的GlobalNetworkPolicy，以及保护节点的HostEndpoint资源；4) 通过实战演示如何构建分层安全模型，先设置全局拒绝策略再

Calico 核心原理与 BGP 路由模式摘要 Calico 通过节点上的 calico-node 组件实现高效的容器网络连接，该组件包含两个核心进程： Felix - 作为"规则执行官"，负责从 Kubernetes API 获取网络策略并编程到内核中，管理路由、ACL 和网络接口 bird - 作为"路由信使"，通过 BGP 协议实现节点间的路由信息交换 在纯 BGP 模式下，Calico 采用三层路由方案： 每个节点分配唯一的 Pod IP 地址段 节点间通过

摘要： eBPF是一项革命性的内核技术，它允许安全地将沙箱化程序加载到内核中运行，通过事件钩子触发执行，同时经过严格验证确保安全性。Cilium是基于eBPF的云原生网络解决方案，它取代传统CNI和kube-proxy，提供高性能网络、基于身份的安全策略和深度API感知能力。通过Hubble工具，Cilium还能实现无与伦比的可观测性，可视化服务依赖关系和流量细节。实战演示了如何安装Cilium并利用Hubble观察网络流量及策略效果，展现了eBPF如何重塑云原生网络架构。

告诉 Istio，这个服务有两个版本子集v1和v2。metadata:spec:subsets:- name: v1labels:- name: v2labels:今天，我们真正领略了服务网格作为“七层网络瑞士军刀”的强大威力。我们学习了 Istio 的核心流量管理资源Gateway和，并亲手完成了一次金丝雀发布，见证了它对流量无与伦比的精细控制能力。我们现在拥有的，是超越 Kubernetes 原生网络能力的、一个真正可编程的应用层网络。我们已经掌握了最复杂的流量管理。可观测性和安全性。

今天，我们为我们的“云原生城市”构建了高效的交通系统。我们通过Service 和 CoreDNS，解决了内部服务之间“如何找到彼此”的问题。接着，我们通过Ingress 和 Ingress Controller，建立了一个强大的、统一的“城门”，学会了如何管理从外部世界进入集群的7层流量。我们的应用现在不仅内部互联互通，也能够安全、高效地对外提供服务了。至此，一个功能完备的 Kubernetes 网络基础已经搭建完毕。

通过今天的原理剖析和动手实战，我们清晰地看到了两种 CNI 模式的差异。Overlay (如 Flannel): 简单、通用。当你需要一个“能用就行”的网络，并且不太关心极致的性能或复杂的网络策略时，它是一个很好的选择。Routed (如 Calico): 高性能、功能强大。当你追求网络性能，并且需要精细、高效的网络策略（）支持时，它是事实上的标准。我们已经为云原生网络世界打下了坚实的“物理层”基础。接下来，我们将在这个基础之上，构建服务发现和访问的“上层建筑”。在下一篇中，我们将探讨。