VPS云服务器容器网络策略：Calico与Cilium配置指南

在VPS云服务器上搭建容器化环境时，网络策略如同虚拟世界的“交通规则”——既保障容器间有序通信，又能阻隔非法访问，对系统安全性与合规性至关重要。Calico与Cilium作为主流容器网络策略工具，分别以不同技术路径实现细粒度流量控制，下面通过具体配置示例展开说明。

Calico规则配置示例

Calico是一款开源网络与安全解决方案，专为容器、虚拟机及裸机工作负载设计，能提供覆盖网络连接与安全防护的全链路服务。其策略配置以标签选择器为核心，通过定义流量的来源、目标及端口限制，实现精准的访问控制。

允许特定Pod间通信

假设业务场景中，Web应用Pod需仅与数据库Pod通信。首先为两类Pod添加标签：Web应用Pod标记为`app=web`，数据库Pod标记为`app=db`（数据库端口假设为5432）。此时可通过以下策略实现单向访问：

apiVersion: projectcalico.org/v3
kind: NetworkPolicy
metadata:
  name: allow-web-to-db
  namespace: default
spec:
  selector: app == 'web'  # 作用于Web应用Pod
  ingress:
    - action: Allow
      protocol: TCP
      source:
        selector: app == 'db'  # 仅允许数据库Pod作为源
      destination:
        ports:
          - 5432  # 限制目标端口为数据库端口

在VPS云服务器上应用该策略后，只有带`app=web`标签的Pod能主动连接带`app=db`标签且监听5432端口的Pod，其他流量将被默认拒绝。

拒绝外部流量访问敏感Pod

若需保护如配置中心等敏感Pod免受外部未标识流量干扰，可通过标签匹配实现屏蔽：

apiVersion: projectcalico.org/v3
kind: NetworkPolicy
metadata:
  name: block-external-to-sensitive
  namespace: default
spec:
  selector: app == 'sensitive'  # 作用于敏感Pod
  ingress:
    - action: Deny
      source:
        selector: "!has(app)"  # 匹配无app标签的外部源

此策略会拦截所有无`app`标签的流量进入`app=sensitive`的Pod，相当于为敏感服务设置“身份验证”门槛。

Cilium规则配置示例

Cilium则是基于eBPF（一种高效内核编程技术）的新一代容器网络与安全方案，凭借内核级流量处理能力，在高性能与灵活性上表现突出。其策略支持标签、IP段等多维度匹配，适合对流量控制精度要求较高的场景。

基于标签的流量过滤

延续Web应用与数据库Pod的场景，Cilium可通过以下策略实现相同访问控制：

apiVersion: cilium.io/v2
kind: CiliumNetworkPolicy
metadata:
  name: web-to-db
  namespace: default
spec:
  endpointSelector:  # 选择受策略影响的端点（Web应用Pod）
    matchLabels:
      app: web
  ingress:
    - fromEndpoints:  # 允许的源端点（数据库Pod）
        - matchLabels:
            app: db
      toPorts:  # 允许的目标端口
        - ports:
            - port: "5432"
              protocol: TCP

策略生效后，Cilium会在网络栈底层直接过滤流量，确保仅Web应用Pod能访问数据库Pod的5432端口，性能损耗远低于传统用户态过滤方案。

基于IP地址的访问控制

若需允许特定IP段访问业务Pod（如内部监控系统），可通过IP段匹配实现：

apiVersion: cilium.io/v2
kind: CiliumNetworkPolicy
metadata:
  name: allow-ip-access
  namespace: default
spec:
  endpointSelector:  # 目标Pod标签
    matchLabels:
      app: target
  ingress:
    - fromCIDR:  # 允许的IP网段
        - 192.168.1.0/24
      toPorts:  # 允许的目标端口
        - ports:
            - port: "80"
              protocol: TCP

此策略将开放`192.168.1.0/24`网段对`app=target` Pod的80端口访问，适用于需要混合标签与IP控制的复杂网络环境。

在VPS云服务器上部署容器时，Calico与Cilium各有优势——Calico配置简洁适合通用场景，Cilium性能强劲适合高并发环境。结合业务的流量特征、安全等级及VPS云服务器的硬件配置（如NVMe硬盘的低延迟能提升策略生效速度），灵活选择或组合使用两种工具，可让容器网络既畅通又安全。