3. Calico 安装与基础配置：使用 Operator 方式安装 Calico，配置默认 IP 池与网络模式

3.1 安装方式选型：为什么选择 Operator

在生产级平台门户中，Calico 的安装方式直接影响后续的运维效率与策略一致性。对比三种主流安装方式，Operator 模式在声明式管理、自动升级、配置漂移防护方面具有明显优势。

3.2 安装前提与集群环境检查

在安装 Operator 之前，必须确认集群满足以下前置条件。任何一项不满足都可能导致安装失败或网络异常。

• Kubernetes 版本： v1.24+（推荐 v1.27+，以支持最新的 NetworkPolicy API）
• CNI 冲突检查： 集群中不能存在其他 CNI 插件（如 Flannel、Weave），否则需先清理残留配置
• etcd 或 kube-apiserver： 确保 API Server 稳定，etcd 集群健康
• 节点内核参数： net.bridge.bridge-nf-call-iptables = 1 必须开启
• Pod 网段预留： 默认 IP 池使用的 CIDR 不能与集群 Service CIDR、节点网络重叠

3.3 使用 Operator 安装 Calico

安装过程分为三步：部署 Operator 自身、创建 Installation 自定义资源、验证组件运行状态。

3.3.1 部署 Tigera Operator

# 安装 Operator 及其 RBAC、CRD
kubectl create -f https://raw.githubusercontent.com/projectcalico/calico/v3.28.0/manifests/tigera-operator.yaml

# 确认 Operator Pod 运行正常
kubectl get pods -n tigera-operator
# 预期输出：tigera-operator-xxxxx   1/1   Running

3.3.2 创建 Installation 资源

Operator 通过 Installation CRD 驱动 Calico 组件的部署。以下是最小化配置，使用 VXLAN 封装模式并指定默认 IP 池。

cat <<EOF | kubectl apply -f -
apiVersion: operator.tigera.io/v1
kind: Installation
metadata:
  name: default
spec:
  calicoNetwork:
    # 选择 VXLAN 封装，跨子网通信无需额外路由
    encapsulation: VXLAN
    # 默认 IP 池 CIDR，需与集群 Pod CIDR 一致
    ipPools:
    - cidr: 10.244.0.0/16
      # 允许 IPIP 封装，VXLAN 模式下可关闭
      encapsulation: VXLAN
      natOutgoing: true
      nodeSelector: all()
    # 启用 IPv4，禁用 IPv6（如无需求）
    nodeAddressAutodetectionV4:
      firstFound: true
EOF

3.3.3 验证组件状态

# 等待所有 calico-* Pod 进入 Running
kubectl get pods -n calico-system

# 预期组件列表：
# calico-node-xxxxx          DaemonSet，每节点一个
# calico-kube-controllers   Deployment，策略控制器
# calico-typha-xxxxx        Deployment，可选的扩展组件

# 检查节点是否 Ready
kubectl get nodes -o wide

3.4 默认 IP 池配置详解

IP 池是 Calico 网络的核心抽象，决定了 Pod 如何获取 IP 地址以及流量如何封装。通过 Operator 安装后，默认 IP 池由 Installation.spec.calicoNetwork.ipPools 定义。

3.5 网络模式对比与选型

Calico 支持三种网络模式，选择取决于集群的网络拓扑与性能要求。以下对比帮助平台工程师做出决策。

3.6 网络模式与 IP 池配置流程

下图展示了从 Operator 安装到网络模式生效的完整配置流程，以及各组件之间的依赖关系。

3.7 安装后验证与健康检查

完成安装后，执行以下验证步骤确保 Calico 网络功能正常，为后续准入策略集成奠定基础。

1. 检查节点状态： kubectl get nodes 所有节点应为 Ready 状态
2. 检查 Calico Pod： kubectl get pods -n calico-system 所有 Pod 应为 Running
3. 测试 Pod 网络连通性： 创建测试 Pod 并执行 ping 跨节点 Pod IP
4. 验证 IP 池分配： calicoctl get ippool 确认默认池 CIDR 正确
5. 检查 NetworkPolicy 生效： 应用一条简单的 deny-all 策略，验证流量被阻断

# 快速连通性测试
kubectl run test-a --image=busybox --restart=Never -- sleep 3600
kubectl run test-b --image=busybox --restart=Never -- sleep 3600

# 获取 Pod IP
kubectl get pods -o wide

# 进入 test-a 并 ping test-b 的 IP
kubectl exec test-a -- ping -c 3 <test-b-ip>

3.8 常见安装问题与排障