Flannel适合快速启动和轻量级集群，基于VXLAN封装实现跨节点通信，兼容性强，延迟约220μs、吞吐1.2Gbps、CPU开销8–15%。
选网络插件不是比谁参数高，而是看它能不能稳住你的业务流量、扛住策略需求、不拖慢排障节奏。Flannel、Calico、Cilium 这三个主流方案，技术路径不同，适用边界也很清晰——关键在匹配场景，不在堆功能。
Flannel：适合快速启动和轻量级集群
Flannel 是最易上手的方案，主打“开箱即用”。它用 VXLAN 封装实现跨节点通信，对底层网络几乎无要求，云环境、VPC、混合网络都能直接跑起来。
- VXLAN 模式延迟约 220μs，吞吐量 1.2Gbps，CPU 开销 8–15%，适合节点数
- host-gw 模式性能接近原生（延迟 28–50μs，吞吐 9.8Gbps），但要求所有节点二层可达，不支持跨子网，适合私有 IDC 或统一交换机下的物理集群
- 不原生支持 NetworkPolicy，安全隔离需依赖其他组件（如 kube-proxy + iptables 规则），策略管理能力弱
Calico：兼顾性能、策略与大规模稳定性的平衡之选
Calico 基于 BGP 路由，每个节点是独立路由器，通过动态路由表转发数据包，不封装、不隧道，因此性能损耗低、可观测性强。
- 延迟 P50 约 0.8ms，吞吐达 9.2Gbps，支持万节点集群，eBPF 模式下还能再降 30% 延迟
- 完整实现 Kubernetes NetworkPolicy，支持 ingress/egress、IPBlock、端口范围等细粒度控制
- 需要基础网络连通性（BGP 邻居可建），部分云厂商需关闭默认 SNAT 或配置路由反射器；运维需懂一点网络协议，但文档成熟、社区响应快
Cilium：面向高性能与深度可观测性的下一代方案
Cilium 把网络逻辑下沉到内核 eBPF 层，在系统调用入口处处理策略、负载均衡和服务发现，绕过传统协议栈路径，带来质变级效率。
- 延迟最低（P50 0.6ms），吞吐最高（10.5Gbps），服务网格场景下数据平面延迟可压至 1ms
- NetworkPolicy 支持 L7（HTTP/gRPC）过滤、透明加密、DNS 策略，还内置 Hubble 实现实时流量追踪
- 依赖较新内核（≥4.19）、eBPF 启用状态，部分旧 OS 或容器运行时需适配；配置复杂度高于 Flannel 和 Calico，但 Helm + Operator 已大幅简化部署
怎么选？按三个硬指标快速判断
不用纠结“最好”，只问自己三件事：
- 集群规模是否超过 500 节点？超了优先看 Calico 或 Cilium
- 是否必须做 HTTP 层访问控制、服务依赖拓扑分析、或 P99 延迟卡在 10ms 内？是的话 Cilium 更合适
- 是否追求 1 小时内完成集群初始化，且后期策略需求极少？Flannel VXLAN 就是答案
