Короткий ответ Однозначно лучшего CNI нет: оба решения поддерживают NetworkPolicy и расширенные возможности (Calico — через собственный GlobalNetworkPolicy и опциональный eBPF dataplane, Cilium — изначально построен на eBPF с L7-политиками и встроенной сетевой телеметрией), выбор зависит от требуемой глубины видимости и контроля трафика, существующей экспертизы команды и совместимости с остальной инфраструктурой (service mesh, облачный провайдер). Как это работает подробнее базовый Kubernetes NetworkPolicy API ограничен L3/L4 (IP, порты, namespace/pod selector); для более тонкого контроля (L7, например "разрешить только HTTP GET на /api, запретить DELETE") нужны расширения конкретного CNI — у Cilium это CiliumNetworkPolicy с L7-правилами на основе eBPF, у Calico — собственные Calico-специфичные политики с похожими, но не идентичными возможностями. eBPF-решения (Cilium, а также режим eBPF у Calico) дают более детальную наблюдаемость трафика на уровне ядра без классического iptables, что снижает накладные расхо
Загрузка…
