Calico 网络插件部署与跨节点 Pod 通信

Calico 是 Kubernetes 中高性能的容器网络解决方案，提供跨节点 Pod 通信、网络策略和安全功能。以下为部署流程与通信原理详解：

---

一、Calico 核心组件

1. Felix
   每个节点上的守护进程，负责配置路由、ACL 规则和接口。
2. BIRD
   BGP 客户端，广播节点路由信息实现跨节点通信。
3. confd
   动态生成 BIRD 配置文件，响应集群变化。
4. CNI 插件
   集成 Kubernetes CNI 标准，管理 Pod 网络命名空间。

---

二、部署流程（以 Kubernetes 为例）

1. 下载 Calico 清单文件

curl https://docs.projectcalico.org/manifests/calico.yaml -O

2. 修改关键参数（按需调整）

# calico.yaml 片段
- name: CALICO_IPV4POOL_CIDR
  value: "192.168.0.0/16"   # Pod 网段，需匹配 kube-controller-manager 的 --cluster-cidr
- name: IP_AUTODETECTION_METHOD
  value: "interface=eth.*"   # 节点网卡匹配规则

3. 应用部署

kubectl apply -f calico.yaml

4. 验证状态

kubectl get pods -n kube-system | grep calico  # 检查所有 Pod Running
calicoctl node status                          # 确认 BGP 对等连接

---

三、跨节点 Pod 通信原理

通信流程
当 Pod A（节点 1）访问 Pod B（节点 2）：

1. 路由学习
   节点 2 通过 BIRD 广播路由：
   $$ \text{Pod B IP} \rightarrow \text{节点 2 物理 IP} $$
2. 数据包转发
   • Pod A 发送数据包到目标 IP（Pod B）
   • 节点 1 根据路由表将包转发至节点 2（通过 BGP 学习到的路由）
   • 节点 2 通过 veth pair 将包送入 Pod B 的网络命名空间

关键技术

• BGP 协议：自动交换节点路由信息，无需 overlay 封装。
• IP-in-IP 隧道（可选）：跨公网时封装原始 IP 包。
• 路由表规则：每个节点维护全量 Pod 路由，例如：

  ip route show | grep calico
  # 输出示例：192.168.1.10 via 10.0.0.2 dev tunl0  # Pod IP 下一跳指向目标节点
  

---

四、通信验证实验

1. 创建测试 Pod

kubectl create deployment nginx --image=nginx --replicas=2
kubectl get pods -o wide  # 确认 Pod 分布在不同节点

2. 跨节点 Ping 测试

kubectl exec -it nginx-pod-1 -- ping <nginx-pod-2_IP>
# 成功输出：64 bytes from <IP> icmp_seq=1 ttl=62 time=0.5 ms

3. 抓包分析（节点 2 执行）

tcpdump -i eth0 host <节点1_IP>  # 观察 BGP 路由更新包
tcpdump -i caliXXXX  # Pod 虚拟接口，观察实际数据包

---

五、常见问题排查

问题现象	检查点
Pod 无法跨节点通信	1. 节点防火墙是否开放 179（BGP）<br>2. calicoctl node status 是否显示 Established
BGP 对等连接失败	1. 节点网络互通性<br>2. Calico 配置中的 AS_NUMBER 一致性
数据包到达节点但未进 Pod	1. Felix 日志是否报错<br>2. iptables -L 检查 ACL 规则

提示：生产环境建议启用网络策略（NetworkPolicy）实现微隔离：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
spec:
  podSelector: {}
  policyTypes: ["Ingress"]

通过 Calico 的纯三层路由方案，可避免 Overlay 网络性能损耗，延迟降低 30% 以上，适合大规模云原生集群部署。