[비교분석] Calico vs Cilium: Kubernetes에서 eBPF를 다루는 두 CNI 거인

Kubernetes 환경에서 **CNI(Container Network Interface)**는 컨테이너의 네트워크 환경을 자동으로 설정하는 핵심 인터페이스다. 현재 kt cloud의 Managed KS는 안정성이 검증된 Calico CNI를 표준(Standard) 모드로 채택하여 운영 중이다.

최근 고성능 네트워킹을 위해 eBPF(Extended Berkeley Packet Filter) 기술이 주목받고 있다. eBPF는 커널 내에서 프로그램을 실행하여, 기존 iptables 방식의 순차적 규칙 검사 한계를 극복하고 BPF Map을 통해 목적지를 즉시 찾아내는 고성능 네트워킹을 가능하게 한다.

Calico와 Cilium은 eBPF를 대하는 철학에서 차이를 보인다.

• Calico (eBPF Optional): 기존 iptables 및 BGP 기반 라우팅의 강점을 유지하면서, eBPF를 선택 가능한 데이터 플레인 중 하나로 제공하여 높은 유연성을 갖는다.
• Cilium (eBPF Native): 설계 단계부터 eBPF를 전제로 하여 모든 로직을 커널 내 eBPF 프로그램으로 처리하며, **'Zero kube-proxy'**를 지향한다.

주요 기능 및 특징은 다음과 같다.

• kube-proxy 대체: Calico는 Felix 에이전트를 통해 API 서버의 변화를 BPF Map에 동기화하며, Cilium은 기능을 완전히 내재화하여 kube-proxy 없이도 최적화된 네트워크 제어를 수행한다.
• 관측성(Observability): Calico는 Felix와 오픈소스 조합을 사용하지만, Cilium은 L3부터 L7까지 깊이 있는 트래픽 시각화를 지원하는 Hubble을 제공한다.
• 보안 및 확장성: Cilium은 IP가 아닌 Identity-based security 방식을 사용하여 보안 정책을 관리하며, Sidecarless 서비스 메시 구현에 유리하다.

다만, 두 기술 모두 eBPF를 활용하기 위해서는 **v5.3 이상(권장 v5.10 이상)**의 최신 리눅스 커널이 필요하다는 공통적인 제약이 있다.