在云原生安全逐渐上升为一线工程能力的背景下，Kubernetes 网络插件不仅要提供基础通信功能，还要具备强大的网络安全管控能力。Cilium 与 Calico 是当前最主流的两款 CNI 插件，它们都宣称支持零信任架构、细粒度访问控制、可观测性与威胁检测。那么，它们在网络安全方面到底有哪些异同？哪一款更适合你的业务场景？本文将围绕功能、安全模型、性能与可运维性四个维度，全面评测 Cilium 与 Calico 的网络安全能力。
一、基础架构对比
| 特性 | Cilium | Calico |
|---|---|---|
| 数据面技术 | eBPF（纯内核空间） | iptables/BPF（二者可选） |
| 控制面组件 | cilium-agent + operator | calico-node + Typha（可选） |
| 依赖的内核特性 | eBPF ≥ 4.9，建议 ≥ 5.3 | 低要求，适配更广泛 |
| 路由模型 | BPF/XDP + 路由 | Linux 路由/iptables/Felix |
| 代理服务能力 | 内置 L7 代理，支持 HTTP/gRPC | 不内置代理，依赖 Envoy 插件 |
解读：Cilium 的安全模型更偏向“可编程内核”路径，借助 eBPF 实现更低延迟和更高可观测性；Calico 则保留了更传统的基于 iptables 的安全实现，兼容性好，但可编程性与可视化上略显不足。
二、网络安全能力对比
1. NetworkPolicy 支持
| 能力点 | Cilium | Calico |
|---|---|---|
| Kubernetes 原生 NetworkPolicy | ✅ 全面支持 | ✅ 全面支持 |
| 自定义扩展策略 | ✅ 支持 CiliumClusterwideNetworkPolicy | ✅ 支持 GlobalNetworkPolicy |
| L7 策略（HTTP/gRPC） | ✅ 原生内置，基于 Envoy + eBPF | ⚠️ 需搭配 Envoy 插件使用 |
| DNS 级别控制 | ✅ 支持 FQDN policy | ✅ 支持 |
| 限速/带宽控制 | ✅ 支持（基于 eBPF queueing discipline） | ❌ 默认不支持 |
点评：在细粒度访问控制（尤其是 L7 和 FQDN 策略）方面，Cilium 占据优势；Calico 也可支持类似能力，但实现依赖更多组件配置，维护复杂度更高。
2. 零信任与身份控制
| 能力点 | Cilium | Calico |
|---|---|---|
| Identity Based Policy | ✅ IP + Kubernetes label + Identity-based | ✅ 基于 IP 和 Label 组合策略 |
| 服务账户隔离 | ✅ 支持基于 ServiceAccount 的策略 | ✅ 支持 |
| 多租户隔离 | ✅ 支持 Label-based Namespace 区隔 | ✅ 支持 |
| 主机级别隔离 | ✅ 主机网络支持 BPF 限制 | ✅ 可通过 hostEndpoint 实现 |
点评：Cilium 引入了基于 Identity 的策略引擎，动态分配身份标识，提升了策略弹性；Calico 在这方面依然依赖 IP 和标签组合，相对静态。
三、可视化与入侵检测能力
| 能力点 | Cilium | Calico |
|---|---|---|
| 可视化拓扑 | ✅ Hubble 实时拓扑图 | ⚠️ 第三方（如 Tigera Flow Visualizer） |
| 流量审计日志 | ✅ 内建 Hubble UI/CLI 支持 | ✅ 需搭配 Felix + Logcollector |
| 网络探针 / IDS | ✅ 支持 Hubble Observe / Cilium Tetragon | ⚠️ Tigera EE 版支持入侵检测功能 |
| L7 请求追踪与审计 | ✅ 完整支持 HTTP Header 与 gRPC 调用链 | ❌ 不原生支持 |
点评：Cilium 的 Hubble 与 Tetragon 实现了端到端的安全可观测与入侵检测闭环；Calico 需搭配企业版 Tigera 功能或第三方工具实现。
四、性能与运维成本
| 能力点 | Cilium | Calico |
|---|---|---|
| 数据平面延迟 | ✅ eBPF 模型延迟更低 | ⚠️ iptables 延迟较高，BPF 模式待调优 |
| 控制面资源占用 | ⚠️ 相对更高，组件多、功能多 | ✅ 资源开销更小 |
| 云厂商支持程度 | ✅ AWS、GKE、AKS 均已原生支持 | ✅ 主流平台广泛支持 |
| 运维复杂度 | ⚠️ 功能强大但依赖更多，学习曲线稍陡 | ✅ 更简洁直接，成熟稳健 |
五、总结建议
| 场景需求 | 推荐插件 | 理由 |
|---|---|---|
| 高安全要求、需要零信任架构 | ✅ Cilium | 支持 L7 策略、可视化、身份隔离、入侵检测全链路能力强 |
| 对兼容性要求高、希望运维简单 | ✅ Calico | 架构成熟，配置简单，适用于大多数传统场景 |
| 希望平滑迁移至现代网络模型 | ⚠️ Cilium（逐步替换） | 可分阶段引入 eBPF 能力，与 Calico 共存切换 |
| 企业级安全合规、有预算 | ✅ Calico EE / Cilium + Tetragon | 两者企业级能力都支持合规审计与 SOC 集成 |
六、未来趋势：融合 vs 替代？
随着 eBPF 的成熟，Cilium 的普及度快速提升，但 Calico 也在演进中支持 BPF 模式，并逐步靠近现代架构设计。从未来趋势看，两者可能走向“融合”：即在不同集群或节点中，根据场景选择最合适的插件，形成混合网络策略组合。
写在最后：
网络安全不是插件之间的“二选一”，而是架构能力的“长期演进”。在选型过程中，建议结合实际业务需求、团队能力、生态工具链进行全面评估，做到“先易后难，逐步替换”，实现真正可观测、可治理、可防御的云原生网络安全体系。
