在云服务器环境中部署Kubernetes集群时，Calico是最常用的网络插件之一。它不仅能够提供稳定的容器网络连通能力，还可以通过Kubernetes网络策略实现细粒度的流量管控。Calico支持多种数据转发模式，其中BGP和overlay是两类最具代表性的方案。理解这两者在云服务器上的适用条件，是搭建可控集群网络的第一步。
BGP模式全称是Border Gateway Protocol，即边界网关协议。在Calico中，BGP用于在集群节点之间分发路由信息，每个节点上的Felix组件负责设置本机路由，而BIRD或confd等进程将容器网段以路由条目形式通告给邻居。当云服务器的底层网络允许节点间直接通信、且虚拟机所在子网没有做严格的隔离时，BGP可以让Pod IP在节点间以真实路由方式互通，不需要任何封包解包，性能接近物理网络。
与之相对，overlay模式通过隧道技术将Pod之间的流量封装在底层IP包中传输。Calico的overlay通常基于VXLAN或IPIP实现。在云服务器环境中，很多厂商的虚拟网络不允许节点宣告独立路由，或者安全组默认拦截未知协议，这时使用BGP就可能失败。overlay把容器流量包装成普通IP包，只要节点间TCP或UDP可达就能工作，虽然会损失一部分性能，但兼容性最好。
云服务器上BGP模式的配置要点
要在云服务器启用Calico的BGP，首先需确认所使用的VPC网络是否支持节点间直接路由Pod网段。以常见公有云为例，若开启“自定义路由表”功能，可手动添加指向各节点的容器网段路由，再配合Calico的BGPpeaker或全互联模式，就能形成闭环。安装时可通过修改Calico的Installation资源，将spec.calicoNetwork.bgpEnabled设为true，并选择nodeToNodeMesh或对接云路由反射器。
具体配置中，还需要注意云安全组放通BGP协议端口TCP 179，否则邻居关系无法建立。若采用IPIP关闭的纯BGP，节点网卡需能转发非自身IP流量，这往往要在云主机内部执行sysctl修改net.ipv4.ip_forward。一个典型误区是只在控制台放开安全组，却忘了宿主机iptables可能丢弃跨节点Pod流量，应在Calico的felix配置中确认DefaultEndpointToHostAction不为Drop。
overlay模式的开启与网络策略绑定
当云服务器底层不支持BGP路由时，最省心的方式是切换为overlay。在Calico的Installation里设置calicoNetwork.overlay:IPIP或VXLAN，并关闭bgpEnabled。此时每个节点会创建隧道设备，比如tunl0或vxlan.calico，Pod出网先被封装再发往对端节点。因为流量在外层看起来只是节点IP互访，云安全组只需允许节点IP互通即可，无需关心容器网段。
无论使用BGP还是overlay，Kubernetes网络策略的写法完全一致。比如限制default命名空间下带role=frontend标签的Pod只能访问role=backend的Pod的80端口，可编写NetworkPolicy资源，spec.policyTypes包含Ingress，ingress规则用from和ports描述。Calico会将这些策略翻译成iptables或eBPF规则，在对应模式下生效。需要强调的是，overlay不会削弱策略能力，只是转发平面不同，策略依然能精确控制Pod南北向与东西向流量。
BGP与overlay的选型对比
从运维角度看，BGP模式在云服务器上更贴近“扁平网络”理想，延迟低、排障直观，用ip route就能看到Pod路由；但它强依赖底层网络权限，跨可用区或混合云时常常受阻。overlay则以少量性能换取极大灵活，特别适合受限VPC或频繁伸缩的集群。下表列出两者核心差异，方便对照：
| 对比项 | BGP模式 | overlay模式 |
|---|---|---|
| 转发方式 | 真实路由直连 | 隧道封装传输 |
| 云网络要求 | 允许自定义路由或路由反射 | 仅节点IP互通 |
| 性能表现 | 高，无封装开销 | 中，有封装解封装消耗 |
| 策略支持 | 完整NetworkPolicy | 完整NetworkPolicy |
| 适用场景 | 自建IDC云、开放VPC | 标准公有云受限网络 |
实际落地时，不少团队会在同一集群混合使用：节点同可用区内用BGP，跨区用IPIP overlay，Calico通过IPPool的natOutgoing与nodeSelector实现分区配置。这种组合既保性能又破孤岛。无论如何选择，都应先在小规模云服务器节点做连通性与策略拦截测试，用calicoctl get workloadEndpoint确认端点状态，再逐步推广到生产业务。
最后补充一点，网络策略的排查不能脱离转发模式。BGP下Pod不通多查路由和179端口；overlay下则看隧道口统计与外层安全组。掌握Calico在云服务器上的BGP与overlay配置逻辑，才能让Kubernetes网络策略真正起到防护而非添乱的作用。
CalicoKubernetes网络策略BGP_overlay配置修改时间：2026-08-16 06:24:28