解构 Kubernetes
网络插件之魂

CNI (Container Network Interface) 是 K8s 网络通信的基石。它不仅负责为 Pod 分配 IP，更决定了数据包如何在复杂的分布式节点间穿梭。理解其背后的 Overlay 与 Underlay 原理是架构选型的关键。

IPAM 地址管理

网络策略实施

Overlay 网络在现有物理网络之上构建逻辑网络。它将 Pod 的原始数据包封装在宿主机的 UDP/VXLAN 包中进行传输。

[ Eth [ IP [ UDP [ VXLAN [ Inner Eth [ Inner IP [ Payload ] ] ] ] ] ] ]

eBPF 允许在内核中直接处理数据包，无需经过繁琐的 iptables 或 IPVS 规则链。

eBPF Program ● RUNNING

int hello_world(void *ctx) {
  bpf_trace_printk("Packet Inbound!");
  return 0;
}

主流 CNI 插件全景图

CoreOS 开发的元老级插件。以简单著称，主要提供 Overlay 网络，不支持 Network Policy。

性能★★★☆☆

复杂度★☆☆☆☆

安全性★☆☆☆☆

工业级标准。支持 BGP 高性能路由和极其强大的三层/四层网络策略，适合大规模集群。

性能★★★★★

复杂度★★★☆☆

安全性★★★★★

基于 eBPF 的新一代插件。提供 L7 级深度监控、无 kube-proxy 模式，是云原生网络的未来。

性能★★★★★

复杂度★★★★☆

安全性★★★★★

特性	Flannel	Calico	Cilium	Weave Net
主要原理	VXLAN / Host-GW	BGP / IPIP	eBPF	UDP / Mesh
网络策略 (Policy)	不支持	强项 (L3/L4)	极致 (L3-L7)	支持
加密传输	无	Wireguard	IPsec / Wireguard	内置 NaCl
外部依赖	Etcd / K8s API	Etcd (可选)	Linux Kernel 4.9+	无

回答几个问题，我们将为您推荐最合适的网络方案

1. 您的集群规模大约是多少个节点？

2. 您是否需要严格的网络安全策略 (Network Policy)？

3. 您的内核版本是否较新 (5.x+) 且追求极致性能？