Calico
老牌 CNI：可选 iptables 或 eBPF 数据面，原生 BGP，策略能力比 K8s NetworkPolicy 更细。
两套数据面可选：标准 Linux（iptables/nftables，兼容性最好）或 eBPF（性能与 kube-proxy 替换）。它的特色是把 Pod 网段用 BGP 宣告出去 —— 家里路由器学到路由后，Pod IP 在局域网内直接可达，不需要 overlay 封装。除标准 NetworkPolicy 外还有自己的 CRD（GlobalNetworkPolicy、Tier 等），表达力更强。
上游活跃度
2026-08-23 抓取 · 数据来自 projectcalico/calico (github)star7,327
最近提交2026-08-23
最新版本v3.32.12026-06-26
数字由构建期抓取，非实时；star 数不同代码托管平台之间不可直接比较。
运行依赖
- 用 BGP 模式需要一台会说 BGP 的路由器；否则退回 IPIP / VXLAN overlay
上手前注意
- 私有 CRD 写的策略不可移植 —— 换 CNI 时标准 NetworkPolicy 能带走，Calico 自有的那部分要重写
- Operator（Tigera）与裸清单是两条安装路径，文档混排；混用会得到两个都想管同一份配置的控制器
- 开源版与商业版 Calico Enterprise 文档同源，读到的功能不一定在开源版里