1. 课程导论：容器网络发展历程、Calico在CNI中的定位、缓存命中率对网络性能的关键影响
1.1 容器网络发展历程：从单机到云原生的演进
容器网络的演进是随着容器编排技术的成熟而逐步深化的。早期 Docker 时代，网络方案以单机 bridge 和 host 模式为主，跨主机通信依赖端口映射或 overlay 隧道。进入 Kubernetes 时代后，CNI（Container Network Interface）成为标准接口，网络方案从“能通”转向“高性能、可观测、安全隔离”。
| 阶段 | 代表技术 | 核心特征 | 性能瓶颈 |
|---|---|---|---|
| 单机容器网络 | Docker bridge / host | 简单 NAT + 端口映射 | 跨主机延迟高，端口争用 |
| Overlay 隧道网络 | Flannel VXLAN / Weave | 封装解封装，三层可达 | CPU 开销大，吞吐下降 20-30% |
| 路由直连网络 | Calico BGP / Cilium eBPF | 原生路由，无隧道封装 | 依赖底层网络设备路由表容量 |
| 可编程内核网络 | Cilium eBPF / Calico eBPF 模式 | 内核态转发，细粒度策略 | 内核版本依赖，调试复杂度高 |
关键趋势： 从“封装隧道”到“原生路由”再到“内核旁路/可编程”，容器网络的核心矛盾始终是 灵活性 vs 性能。Calico 的 BGP 直连方案正是为了解决隧道封装带来的性能损耗而设计的。
1.2 Calico 在 CNI 中的定位：纯三层网络与策略引擎
Calico 是 CNCF 毕业项目，在 Kubernetes CNI 生态中占据独特位置。与 Flannel 的 overlay 方案不同，Calico 采用纯三层路由模型，不依赖隧道封装，数据包直接通过主机路由转发。
Calico 的核心组件包括：
- Felix：运行在每个节点上的代理，负责管理路由规则、iptables/ipset 策略和接口配置。
- BIRD：BGP 路由守护进程，负责在节点间分发路由信息，实现 Pod IP 的跨节点可达。
- Typha：大规模集群中的 Felix 与 API Server 之间的数据缓存代理，降低 API Server 压力。
- Calico API Server：提供 NetworkPolicy、IPPool 等 CRD 资源的存储和查询接口。
定位总结： Calico 是 纯三层网络方案 + 分布式防火墙 的结合体。它不负责二层交换，而是通过 BGP 将容器网络路由注入到现有网络基础设施中，同时利用 iptables/eBPF 实现细粒度的网络策略控制。
1.3 缓存命中率对网络性能的关键影响
在容器网络数据路径中，缓存命中率直接影响数据包的转发延迟和吞吐量。这里的“缓存”涵盖多个层级：CPU 缓存（L1/L2/L3）、内核路由缓存、conntrack 连接跟踪表、iptables 规则集匹配缓存等。
| 缓存层级 | 作用对象 | 命中率低的影响 | 典型优化手段 |
|---|---|---|---|
| CPU L1/L2 缓存 | 数据包描述符、sk_buff | 内存访问延迟增加 10-100ns | NUMA 亲和性、大页内存 |
| 内核路由缓存 | 路由表项 | 路由查找变慢，CPU 占用升高 | 路由表规模控制、LPM 优化 |
| conntrack 表 | 连接跟踪条目 | 新建连接丢包，吞吐骤降 | 表大小调优、超时时间缩短 |
| iptables 规则集 | 规则匹配缓存 | 规则遍历次数增加，延迟抖动 | 规则合并、使用 ipset |
| eBPF map | BPF 程序共享数据 | map 查找失败，回退到慢路径 | map 大小预分配、key 哈希优化 |
以 Calico 的 iptables 模式为例，每个数据包在进入节点后需要经过 PREROUTING → FORWARD → POSTROUTING 链，每条链可能包含数十到数百条规则。如果规则集缓存命中率低，内核需要逐条遍历规则，导致 PPS（每秒包数）下降 30-50%。
性能拐点： 当缓存命中率低于 70% 时，数据包转发延迟会呈现非线性增长。这是因为缓存未命中导致内核进入慢路径，触发锁竞争、内存分配和上下文切换，进一步加剧性能恶化。在生产集群中，缓存命中率每提升 10%，PPS 可提升 15-25%。
1.4 本课程的核心目标
本课程将围绕 Calico 的缓存机制，从以下四个维度展开调优：
- 路由缓存调优：优化 BGP 路由表规模、使用 ECMP 多路径、调整内核路由缓存参数。
- 连接跟踪优化：调整 conntrack 表大小、超时策略、避免表溢出导致的丢包。
- iptables 规则集精简：合并规则、使用 ipset 减少规则数量、启用规则缓存。
- eBPF 模式下的缓存利用：利用 BPF map 替代 iptables 规则，实现无锁缓存查找。
通过本课程的学习，你将掌握 Calico 网络数据路径的缓存原理，并能够针对不同场景制定缓存命中率提升策略，最终实现容器网络吞吐量提升 30-50%、延迟降低 50% 以上的调优目标。