2. Calico 基础回顾：架构组件、数据路径与策略模型

在深入平台门户集成之前，必须重新夯实 Calico 的核心基础。本章聚焦三大支柱：组件架构、数据路径与策略模型。理解这些是设计安全权限策略的前提。

2.1 Calico 架构组件

Calico 采用分布式无中心架构，核心组件包括 Felix、Typha 以及数据存储后端（etcd 或 Kubernetes CRD）。

2.2 数据路径：iptables 与 eBPF

Calico 支持两种数据平面：iptables（经典模式）与 eBPF（高性能模式）。两者在策略执行逻辑上一致，但性能与可观测性差异显著。

2.3 策略模型：NetworkPolicy 与 GlobalNetworkPolicy

Calico 的策略模型在 Kubernetes 原生 NetworkPolicy 之上扩展了 GlobalNetworkPolicy，支持集群级、命名空间级与端点级控制。

2.3.1 策略层级

• NetworkPolicy：命名空间作用域，仅影响该命名空间内的 Pod。
• GlobalNetworkPolicy：集群作用域，可跨命名空间匹配，支持优先级排序。
• Staged NetworkPolicy：预演模式，仅记录命中但不执行，用于策略验证。

2.3.2 策略匹配规则

2.3.3 策略执行顺序

1. 入站（Ingress）规则按优先级从低到高匹配，第一条命中即执行。
2. 出站（Egress）规则同理，默认拒绝所有未显式允许的流量。
3. GlobalNetworkPolicy 优先级高于 NetworkPolicy，但可通过 order 字段调整。

# 示例：GlobalNetworkPolicy 拒绝所有非加密出口流量
apiVersion: projectcalico.org/v3
kind: GlobalNetworkPolicy
metadata:
  name: deny-unencrypted-egress
spec:
  selector: all()
  order: 10
  egress:
    - action: Deny
      protocol: TCP
      destination:
        ports:
          - 80
    - action: Allow
      protocol: TCP
      destination:
        ports:
          - 443