K8s-Calico 网络组件-平芜编程栈

在 Kubernetes 集群部署中，网络插件的选择至关重要，它直接影响集群的通信效率、稳定性和扩展性。Calico 作为一款开源的容器网络解决方案，凭借其基于 BGP 协议的高性能特性和强大的网络策略能力，成为众多 K8s 集群的首选。本文将详细介绍 Calico 在 K8s 1.28.15 版本中的适配情况，包括核心模式、切换方法及选型建议。

一、Calico 概述

Calico 是一款基于 BGP（边界网关协议）实现容器间网络互联的解决方案，同时提供强大的网络策略（Network Policy）能力，可用于精细控制容器间的访问权限。对于 K8s 1.28.15 版本，经过验证，Calico 3.27.x 系列版本（推荐 3.27.3 及以上）能够完全兼容，满足集群网络的核心需求：

支持 Pod 网络跨节点通信
兼容 Service 资源的负载均衡机制
适配 Kubernetes 网络策略标准
可选支持 IPv4/IPv6 双栈

Calico 的核心优势包括：

高性能：基于 BGP 路由转发，无需额外隧道封装（部分模式除外），网络延迟低、吞吐量高
灵活的网络模式：支持 BGP 原生模式、IPIP 隧道模式、VXLAN 隧道模式等，适配不同网络环境
强大的网络策略：可基于 Pod 标签、命名空间、端口等维度定义精细化访问控制规则
高可靠性：支持故障自动切换、节点健康检查等机制，保障网络服务连续性
易于运维：提供丰富的命令行工具（calicoctl）和监控指标，方便管理和问题排查

二、Calico 核心模式解析（适配 K8s 1.28.15）

Calico 针对 K8s 1.28.15 集群提供三种核心部署模式，核心差异在于 Pod 间跨节点通信的实现方式，需根据集群网络拓扑和需求选择。

2.1 BGP 原生模式

工作原理

BGP 原生模式下，每个 K8s 节点上的 calico-node 组件作为 BGP 发言人，将本节点 Pod 的 CIDR 网段路由信息通过 BGP 协议同步到集群内其他节点及外部 BGP 路由器。Pod 跨节点通信时，数据包直接通过节点间路由表转发，无需隧道封装，实现原生三层网络互联。

适用场景

集群所有节点处于同一二层网络（如同一机房、同一 VLAN）
对网络性能要求高（如高性能计算、大数据处理等低延迟场景）
需要与集群外部网络通过 BGP 协议互联

优势与不足

优势：网络性能最优（无隧道封装损耗）；架构简单，依赖标准 BGP 协议；支持与外部 BGP 网络无缝集成
不足：依赖节点间二层网络连通性，不适用于跨网段 / 跨机房部署；需要网络环境支持 BGP 协议

2.2 IPIP 隧道模式

工作原理

IPIP 隧道模式是一种叠加网络模式，每个节点会创建虚拟 tunl0 隧道接口。Pod 跨节点通信时，发送节点将 Pod 数据包封装在新的 IP 数据包中（外层 IP 为节点主机 IP），通过隧道发送到目标节点，目标节点解封装后转发至目标 Pod。

适用场景

集群节点跨网段部署（如不同 VLAN、不同机房）
网络环境不支持 BGP 协议
对跨节点通信性能要求中等（可接受轻微隧道封装损耗）

优势与不足

优势：不受节点网络拓扑限制，支持跨网段 / 跨机房部署；配置简单，开箱即用；兼容性强，适用于大多数私有网络环境
不足：存在隧道封装 / 解封装性能损耗（延迟略高于 BGP 模式）；不支持与外部网络直接通过隧道互联

2.3 VXLAN 隧道模式

工作原理

VXLAN 隧道模式同样是叠加网络模式，采用 UDP 封装（默认端口 4789）。每个节点创建虚拟 vxlan.calico 接口，Pod 跨节点通信时，数据包被封装在 UDP 数据包中（外层 IP 为节点主机 IP），通过 VXLAN 接口发送，目标节点解封装后转发至目标 Pod。

适用场景

集群节点跨 NAT 部署（如不同云厂商 VPC、不同家庭网络）
云环境下的 K8s 集群（多数云厂商支持 VXLAN 协议）
节点数量较多的大规模集群（VXLAN 扩展性优于 IPIP）

优势与不足

优势：NAT 穿透能力强，适用于复杂跨网络场景；扩展性好，支持数千节点规模；与云环境兼容性好
不足：性能损耗高于 BGP 和 IPIP 模式（UDP 封装额外开销）；需要网络环境放行 UDP 4789 端口

三、Calico 模式修改方法（适配 K8s 1.28.15）

Calico 模式修改的核心是调整 IPPool 资源配置，以下介绍两种常用方法（calicoctl 和 kubectl）。

3.1 calicoctl 方式

前提条件

已部署 Calico 3.27.x 版本

安装 calicoctl 工具：

bash

运行

# 下载 calicoctl wget https://github.com/projectcalico/calico/releases/download/v3.27.3/calicoctl-linux-amd64 chmod +x calicoctl-linux-amd64 sudo mv calicoctl-linux-amd64 /usr/local/bin/calicoctl alias calicoctl='calicoctl --allow-version-mismatch'

备份现有配置：

bash

运行

calicoctl get ippool -o yaml > calico-ippool-backup.yaml calicoctl get bgpconfiguration default -o yaml > calico-bgpconfig-backup.yaml

模式切换示例

IPIP 模式 → BGP 原生模式：

bash

运行

# 修改 ipipMode 为 Never calicoctl patch ippool default-ipv4-ippool -p '{"spec":{"ipipMode":"Never"}}' # 验证 calicoctl get ippool default-ipv4-ippool -o yaml | grep ipipMode

BGP 模式 → VXLAN 模式：

bash

运行

# 开启 VXLAN 并关闭 IPIP calicoctl patch ippool default-ipv4-ippool -p '{"spec":{"ipipMode":"Never","vxlanMode":"Always"}}' # 配置 VXLAN 参数（可选） calicoctl patch bgpconfiguration default -p '{"spec":{"vxlanPort":4789,"vxlanSourceAddress":"HostIP"}}' # 重启 calico-node kubectl rollout restart daemonset calico-node -n kube-system

3.2 kubectl 方式（无需 calicoctl）

前提条件

确认 IPPool 名称（默认通常为default-ipv4-ippool）

备份配置：

bash

运行

kubectl get ippool.projectcalico.org -o yaml > calico-ippool-backup.yaml

核心配置字段

Calico 网络模式通过 IPPool 资源的以下字段控制：

字段名	取值范围	说明
`ipipMode`	`Never`/`Always`/`CrossSubnet`	IPIP 隧道模式控制
`vxlanMode`	`Never`/`Always`/`CrossSubnet`	VXLAN 隧道模式控制
`natOutgoing`	`true`/`false`	是否对 Pod 访问外网流量做 SNAT（通常为 true）

模式切换示例

切换为 BGP 原生模式：

bash

运行

# 关闭 IPIP 和 VXLAN 隧道 kubectl patch ippool.projectcalico.org default-ipv4-ippool \ --type merge \ -p '{"spec":{"ipipMode":"Never","vxlanMode":"Never"}}'

切换为 IPIP 隧道模式：

bash

运行

# 强制开启 IPIP（所有跨节点通信走隧道） kubectl patch ippool.projectcalico.org default-ipv4-ippool \ --type merge \ -p '{"spec":{"ipipMode":"Always","vxlanMode":"Never"}}' # 或仅跨子网开启 IPIP（同子网不走隧道，更优性能） kubectl patch ippool.projectcalico.org default-ipv4-ippool \ --type merge \ -p '{"spec":{"ipipMode":"CrossSubnet","vxlanMode":"Never"}}'

切换为 VXLAN 隧道模式：

bash

运行

# 强制开启 VXLAN kubectl patch ippool.projectcalico.org default-ipv4-ippool \ --type merge \ -p '{"spec":{"ipipMode":"Never","vxlanMode":"Always"}}' # 重启 calico-node 确保生效 kubectl rollout restart daemonset calico-node -n kube-system

3.3 模式修改注意事项

修改可能导致短暂网络中断，建议在业务低峰期执行
若通信异常，可重启相关 Pod 或通过备份配置回滚：kubectl apply -f calico-ippool-backup.yaml
VXLAN 模式需确保节点间 UDP 4789 端口放行，IPIP 模式需放行 IP 协议号 94
大规模集群（节点数 > 100）修改后建议观察 5-10 分钟，确认网络稳定性

四、模式选型建议

选择 Calico 网络模式时，需结合集群网络环境、性能需求和规模综合判断：

场景特点	推荐模式
同一二层网络、高性能需求	BGP 原生模式
跨网段、无 BGP 支持	IPIP 隧道模式
跨 NAT、云环境、大规模集群	VXLAN 隧道模式
核心业务 / 金融交易 / 实时计算	BGP 原生模式
公有云 / 混合云 / 多租户隔离	VXLAN 隧道模式
小规模跨子网集群 / 测试环境	IPIP 隧道模式
超大规模集群（1000 + 节点）	BGP 原生模式
IPv6 部署环境	BGP 原生模式