為什麼 CNI 這麼重要？
網路架構是 Kubernetes 中最讓人頭痛的面向之一。Kubernetes 的網路模型對功能有一定要求（例如每個 Pod 都有自己的 IP、Pod 之間可以直接通訊），但在具體實作上保留了很大的彈性。這就是 CNI（Container Network Interface，容器網路介面）存在的意義 — 它是一套標準化的介面規範，讓不同的網路方案都能接入 Kubernetes。
選擇合適的 CNI 外掛直接影響叢集的網路效能、安全策略能力和維運複雜度。以下我們逐一介紹七個主流的 CNI 網路外掛。
七大 CNI 外掛概覽
| 外掛 | 核心技術 | 特色 |
|---|---|---|
| Flannel | VXLAN / UDP / Host-GW | 最簡單易用，適合入門和小型叢集 |
| Calico | BGP 路由 | 豐富的網路策略和安全功能，企業級首選 |
| Canal | Flannel + Calico | 結合兩者優勢：Flannel 負責網路連通、Calico 負責策略 |
| Weave Net | VXLAN / UDP / TCP | 輕量級，內建加密，設定簡單 |
| Cilium | eBPF | 基於 Linux 核心的高效能方案，支援 L7 策略 |
| Contiv | SDN | 軟體定義網路，提供虛擬網路和網路隔離 |
| Antrea | Open vSwitch (OVS) | VMware 主導，與 vSphere 生態整合良好 |
社群活躍度比較
| 外掛 | GitHub Stars | GitHub Forks |
|---|---|---|
| Cilium | 16k | 2.3k |
| Flannel | 8.1k | 2.5k |
| Weave Net | 6.5k | 671 |
| Calico | 4.8k | 1.1k |
Cilium 近年來的社群熱度明顯領先，主要歸功於 eBPF 技術的強大效能和安全能力。
兩種網路模型
封裝網路（Overlay Network）
在現有的 L3 網路之上建立一個邏輯 L2 網路。封包會被額外的 IP Header 包裝後在節點之間傳輸，常見的封裝方式有 VXLAN、IPSec 和 IP-in-IP。
優點：
- 為容器提供隔離的 L2 網路，不需要額外配置路由分發
- 對底層網路要求低，部署簡單
缺點：
- 封裝和解封裝帶來額外的處理開銷
- IP 封包大小增加（MTU 問題）
- 對節點之間的網路延遲較敏感
使用此模型的外掛：Flannel、Canal、Weave、Cilium（預設）。Calico 也可配置為此模式。
非封裝網路（Underlay Network）
直接在 L3 層路由封包，不做額外封裝。透過 BGP 等路由協定在節點之間分發路由資訊。
優點：
- 無封裝開銷，效能更好
- 封包大小不會增加
- 對延遲較不敏感
缺點：
- 需要管理路由分發
- 對底層網路環境有較高要求
使用此模型的外掛：Calico（預設）、Cilium（可配置）。
功能對比總表
| 外掛 | 網路模型 | 路由分發 | 網路策略 | Service Mesh | 外部資料儲存 |
|---|---|---|---|---|---|
| Flannel | 封裝 (VXLAN) | 不支援 | 不支援 | 不支援 | K8s API |
| Calico | 封裝/非封裝皆可 | 支援 (BGP) | 支援 | 支援 | etcd / K8s API |
| Weave Net | 封裝 | 支援 | 支援 | 支援 | 不需要 |
| Cilium | 封裝 (VXLAN) | 支援 | 支援 | 支援 | etcd / K8s API |
關鍵術語說明
- 路由分發：透過 BGP 等協定在節點之間交換路由資訊，讓跨節點的 Pod 能互相通訊。非封裝網路模型的必要功能
- 網路策略（NetworkPolicy）：Kubernetes 內建的防火牆機制，定義哪些 Pod 可以和哪些 Pod 通訊。不是所有 CNI 都支援
- Service Mesh 整合：允許不同 Kubernetes 叢集間的服務互相通訊
- Ingress/Egress 策略：管理 Kubernetes 內外部通訊的路由控制
如何選擇？
| 場景 | 推薦 | 理由 |
|---|---|---|
| 小型叢集 / 學習用途 | Flannel | 設定最簡單，零配置即可運作 |
| 需要網路策略 | Calico 或 Canal | Calico 的 NetworkPolicy 實作最成熟 |
| 高效能 / 大規模叢集 | Cilium | eBPF 技術帶來卓越的效能和可觀測性 |
| 多叢集 / 混合雲 | Calico 或 Cilium | BGP 路由分發和跨叢集支援 |
| VMware 環境 | Antrea | 與 vSphere 生態無縫整合 |
| 簡單 + 需要策略 | Canal | Flannel 的簡單加上 Calico 的策略能力 |
總結
CNI 的選擇沒有絕對的「最佳方案」，取決於你的叢集規模、效能需求、安全策略要求以及維運團隊的技術能力。如果你剛開始接觸 Kubernetes，Flannel 是最無痛的起點；如果是生產環境，Calico 和 Cilium 是目前最受企業信賴的兩個選擇。無論選擇哪個，都建議先在測試環境中充分驗證後再導入生產。
發佈留言