k8s 多租户_Kubernetes多租户隔离利器-Calico

本文

介绍了一个数据中心网络方案Calico，包括其优势、架构、性能分析、工作原理，以及分析了生态云Kubernetes版应用引擎在Calico中的policy设置策略。

背景

小米生态云旨在为小米生态链企业及合作伙伴提供云计算、大数据、人工智能、安全及合规等一站式云服务和整体解决方案。生态云上有一款基于Kubernetes研发的新版应用引擎已经为几十家企业提供服务，每家企业的数据保护最为重要，为此我们探讨了诸多方案的可行性，最终使用Calico网络方案。

Calico简介

Calico是纯3层的数据中心网络方案，它是目前Kubernetes networkpolicy概念的最佳实现方案之一，利用虚拟路由代理虚拟交换，每一台虚拟路由通过BGP协议传播可达信息(路由)到剩余数据中心。

Calico优势

1. 支持Kubernetes networkpolicy概念

2. 容器间网络三层隔离，无需要担心arp风暴

3. 自由控制的policy规则

4. 网络拓扑直观易懂，扩展性强

5. 通过iptables和kernel包转发，效率高，损耗低

Calico架构图

Calico包括如下重要组件：Felix，Etcd，BGP Client，BGP Route Reflector。Felix 、BGPClient 部署在node节点，BGPRouteReflector部署在Master，下面分别说明一下这些组件。

Felix：

主要负责路由配置以及ACLS规则的配置以及下发，它