网络与接入12 条

自托管 DNS：过滤与重写、按客户端规则、查询日志，支持 DoH/DoT 上下游。

DNS

老牌 CNI：可选 iptables 或 eBPF 数据面，原生 BGP，策略能力比 K8s NetworkPolicy 更细。

CNI

K8s 里的证书控制器：CRD 声明域名，它负责向 ACME 或私有 CA 申请与续期。

证书

eBPF 数据面的 CNI：网络策略、kube-proxy 替换、Gateway API 与跨集群互联都在一套里。

CNI、入口

出站长连接把流量拉进内网：不用公网 IP、不开路由器端口，代价是入口归 Cloudflare。

入口

Envoy 官方的 Gateway API 实现：把 Gateway / HTTPRoute 翻译成 Envoy 配置。

入口

读 Service / Ingress / HTTPRoute 上的主机名，自动往 DNS provider 写记录。

DNS

最简的 overlay CNI，只做 Pod 网络互通。K3s 的默认 CNI。

CNI

Tailscale 控制面的第三方开源实现：官方客户端照用，协调服务器换成自己的。

跨机组网

曾经的事实标准入口控制器。2026-03 已退役，不再有版本与安全补丁。

入口

WireGuard 数据面 + 托管控制面的组网层。客户端开源，协调服务器是 SaaS。

跨机组网

配置来自 provider 的反向代理：K8s Ingress / CRD / Gateway API 都认，内置 ACME 签证书。

入口、证书