Calico

Définition

Calico est un plugin CNI (Container Network Interface) open source pour Kubernetes offrant à la fois des fonctionnalités de networking (routage BGP ou overlay VXLAN) et de sécurité réseau (NetworkPolicies étendues). Maintenu par Tigera, Calico est l'un des CNIs les plus déployés dans les environnements Kubernetes de production, particulièrement apprécié pour ses capacités de politique de sécurité réseau granulaires. Calico implémente les NetworkPolicies Kubernetes standard et les étend avec des GlobalNetworkPolicies (appliquées à tous les namespaces), des HostEndpoints (politiques sur les interfaces réseau des nœuds Kubernetes eux-mêmes, pas seulement des pods), et des NetworkSets (ensembles réutilisables d'IPs ou CIDRs référençables dans les politiques). Cette granularité supplémentaire permet d'implémenter une micro-segmentation complète incluant le trafic des nœuds Kubernetes. Calico Enterprise (la version commerciale de Tigera) ajoute des capacités avancées : le reporting de conformité (génération automatique de rapports CIS Benchmark, PCI-DSS, HIPAA sur les politiques réseau en place), le flow log et les visualisations (similaire à Hubble pour Cilium), la détection d'anomalies ML sur les flux réseau, et les politiques de sécurité DNS (filtrage des résolutions DNS dans les pods). En mode BGP (Border Gateway Protocol), Calico connecte directement les pods au réseau physique sans encapsulation overlay (meilleure performance, debugging plus simple), particulièrement adapté aux environnements bare-metal ou aux clouds privés. En mode VXLAN ou IPIP overlay, Calico fonctionne dans des environnements où BGP n'est pas disponible (la plupart des clouds publics managés). La migration vers Calico depuis un autre CNI (flannel, WeaveNet) dans un cluster Kubernetes en production est une opération complexe nécessitant une planification soigneuse car elle implique un redémarrage des pods. La méthode recommandée est un déploiement dans un nouveau cluster avec migration des workloads.