K8S网络插件（CNI）：Flannel和Calico详细对比
Flannel和Calico是Kubernetes中最常用的两种CNI（Container Network Interface）插件，各自针对不同的网络需求提供解决方案。以下是对这两种插件的详细讲解，包括它们的原理、架构、优缺点及使用场景。
1. Flannel
Flannel是一个专注于提供简单容器网络的CNI插件，旨在满足Kubernetes集群中基础网络通信需求。
1.1 Flannel的架构
Flannel的架构比较简单，包含以下关键组件：
1.1.1 flanneld（Flannel Daemon）
运行在每个Kubernetes节点上。
核心功能：
-
子网分配：从集群网络池中为每个节点分配一个子网。
-
路由配置：确保节点之间可以通信。
-
网络封装：根据配置的后端类型对跨节点的数据包进行封装和解封装。
1.1.2 Etcd（或Kubernetes API）
用于存储集群网络配置和子网分配信息。Flannel读取和写入节点的网络配置。
1.2 Flannel的网络模式
Flannel提供多种后端模式来实现网络连接，每种模式适用于不同的环境和需求。
1.2.1 VXLAN模式（默认）
原理：
-
在L3层上通过VXLAN隧道封装数据包。
-
每个数据包被封装进一个新的UDP数据包，在两个节点之间通过UDP协议传输。
特点：
-
无需依赖底层网络支持，适应性广。
-
封装带来了一定的性能开销。
适用场景：底层网络不支持直接路由、希望快速部署网络。
1.2.2 Host-GW模式
原理：
-
基于主机的路由表，在L3层上通过静态路由实现节点间的通信。
-
每个节点直接将数据包路由到目标节点，无需封装。
特点：
-
性能更高，因为没有封装开销。
-
要求节点处于同一物理或逻辑网络（如VLAN）。
适用场景：节点可以直接通信的裸机或私有云环境。
1.2.3 UDP模式
原理：通过UDP隧道传输数据包。特点：实现简单，但性能较差，已不推荐使用。
1.2.4 IPIP模式
原理：使用IP-in-IP封装技术，数据包在L3层上通过IP包封装传输。
特点：
-
类似于VXLAN，但性能稍低。
-
提供比Host-GW更广泛的兼容性。
1.3 Flannel网络流量流程
同节点Pod间通信
-
Pod A 发送数据到 Pod B。
-
数据包通过Pod A的veth接口到达宿主节点。
-
数据包经由节点的虚拟网桥（如cbr0）到达Pod B。
跨节点Pod通信（VXLAN模式）
-
Pod A 发送数据到目标Pod（在另一节点上）。
-
数据包经过veth接口到达宿主节点。
-
flanneld对数据包进行VXLAN封装。
-
封装后的数据包通过底层网络传输到目标节点。
-
目标节点的flanneld解封装数据包，并将其路由到目标Pod。
1.4 Flannel优缺点
优点：
-
简单易用：安装配置方便，适合初学者。
-
轻量级：对系统资源占用较低。
-
兼容性强：支持多种网络环境和后端模式。
缺点：
-
功能单一：不支持网络策略和安全控制。
-
性能不足：在大规模集群或高流量环境下可能会成为瓶颈。
-
缺少可观测性：对网络性能和流量的监控较少。
2. Calico
Calico是一个功能强大的CNI插件，不仅提供高性能的网络通信，还支持网络策略、负载均衡和安全控制。
2.1 Calico的架构
Calico的架构比Flannel更复杂，包含以下核心组件：
2.1.1 Calico Node
每个节点运行的核心代理。
包含以下子组件：
-
Felix：负责将网络策略应用到Linux内核网络栈。
-
BIRD（BGP Daemon）：通过BGP协议分发路由信息。
2.1.2 Datastore
存储Calico的网络和策略配置。
支持多种存储后端：
-
Etcd
-
Kubernetes API（推荐）
2.2 Calico的网络模式
2.2.1 Direct Routing模式（无隧道模式）
原理：
-
使用BGP将每个节点的Pod CIDR通告给其他节点。
-
节点间直接路由通信，无需封装。
特点：
-
高性能，无封装开销。
-
需要底层网络支持BGP协议。
适用场景：高性能要求、底层网络支持BGP的大型集群。
2.2.2 IPIP模式
原理：在L3层上通过IP-in-IP封装数据包。
特点：
-
适用于底层网络不支持BGP的情况。
-
性能略低于Direct Routing。
适用场景：混合环境，部分节点不支持BGP。
2.2.3 VXLAN模式
原理：类似于Flannel的VXLAN模式，通过UDP隧道封装数据包。
特点：
-
兼容性广泛，适应不同网络环境。
-
支持对网络进行加密。
2.3 Calico的网络策略
Calico提供了强大的网络策略功能，可以通过声明性配置控制流量的入站和出站行为。
2.3.1 NetworkPolicy
作用范围：针对某个命名空间中的Pod。
功能：控制Pod之间或Pod与外部的通信。
2.3.2 GlobalNetworkPolicy
作用范围：集群全局。
功能：对所有命名空间生效，用于跨命名空间的安全策略。
2.3.3 示例策略配置
允许来自特定命名空间的通信：
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
name: allow-namespace
spec:
podSelector: {}
ingress:
- from:
- namespaceSelector:
matchLabels:
role: frontend
限制Pod的出站访问：
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
name: deny-egress
spec:
podSelector:
matchLabels:
app: backend
policyTypes:
- Egress
egress: []
2.4 Calico的工作流程
同节点Pod通信（Direct Routing模式）
-
Pod A 发送数据到 Pod B（同一节点）。
-
数据包通过veth接口进入宿主机。
-
Felix配置的路由规则直接将数据包路由到Pod B。
跨节点Pod通信（Direct Routing模式）
-
Pod A 发送数据到目标Pod（另一节点）。
-
数据包到达宿主机，BGP通告的路由规则将数据包直接发送到目标节点。
-
目标节点将数据包路由到目标Pod。
2.5 Calico优缺点
优点：
-
高性能：Direct Routing模式避免了封装开销。
-
网络策略控制：支持复杂的安全策略，提供强大的流量控制能力。
-
灵活性：支持多种模式，适配不同的网络需求。
-
可观测性：提供丰富的监控工具。
缺点：
-
复杂性高：安装和管理需要一定经验。
-
资源开销：比Flannel更高的CPU和内存使用。
3. Flannel 和 Calico 对比
| 特性 | Flannel | Calico |
|---|---|---|
| 主要功能 | 提供基础L3网络 | 提供L3网络 + 网络策略和安全控制 |
| 网络模式 | VXLAN、Host-GW、UDP、IPIP | Direct Routing、IPIP、VXLAN |
| 性能 | 中等 | 高性能（Direct Routing模式） |
| 网络策略 | 不支持 | 支持 |
| 复杂度 | 低 | 高 |
| 资源开销 | 低 | 较高 |
| 适用场景 | 简单网络需求 | 大规模集群，高性能和安全需求 |
4. 选择指南
使用Flannel：
-
适合中小型集群。
-
只需要基本的Pod间通信。
-
部署环境资源有限。
使用Calico：
-
适合大规模集群。
-
需要高性能的跨节点通信。
-
需要对网络流量进行严格控制。1. Flannel
-
Flannel是一个专注于提供简单容器网络的CNI插件，旨在满足Kubernetes集群中基础网络通信需求。