Kubernetes Network Policy 2026: Calico vs Cilium Deep Dive

Kubernetes pod’ları arasında varsayılan tüm trafik açıktır; 2026’da bu artık denetim raporlarında kabul edilmiyor. CNCF Cloud Native Security Whitepaper 2025’e göre production cluster’ların %71’inde network policy ya hiç tanımlanmamış ya da çok geniÅŸ ve Calico ile Cilium bu boÅŸluÄŸu farklı mimari felsefelerle dolduruyor.

Network Policy’nin 2026 Güvenlik Manzarası

Kubernetes network policy 2017’de v1 API ile geldi, ancak yıllarca yetersiz CNI desteÄŸi nedeniyle gerçek anlamda benimsenemedi. 2026’da CNCF Annual Survey verisi Calico (%48 kullanım) ve Cilium (%32 kullanım) ile pazar payını ikiye böldüğünü gösteriyor. Verizon DBIR 2025 lateral movement saldırılarının veri ihlallerinde %53 paya sahip olduÄŸunu, bu saldırıların %68’inin Kubernetes east-west trafiÄŸi üzerinden gerçekleÅŸtiÄŸini açıklıyor. Network policy bu vektörü kapatmanın temel kontrolü.

Pazar baÄŸlamı: Datadog 2025 Container Report network policy tanımlayan cluster’ların güvenlik incident oranının tanımlamayanlara göre %71 daha düşük olduÄŸunu gösteriyor. NSA Kubernetes Hardening Guide 2025 update’i network policy’yi “must-have” kategorisine taşıdı. Tigera (Calico’nun arkasındaki ÅŸirket) 2025 raporu Calico kullanımının kurumsal Kubernetes’te %71’e ulaÅŸtığını, Cilium ise Isovalent’in IBM tarafından satın alınmasıyla enterprise pazara hızla yayılıyor.

Calico ve Cilium CNI Mimari Farkı

Calico ve Cilium farklı mimari katmanlarda çalışır. Calico iptables ve eBPF dataplane’leri arasında seçim sunar; varsayılan olarak iptables, opt-in olarak eBPF. Cilium ise eBPF-first yaklaşımı benimser; iptables alternatifi olarak doÄŸrudan kernel sokket layer’ında programlama yapar. Bu mimari fark performans, observability ve troubleshooting deneyimini doÄŸrudan etkiliyor.

eBPF ile L7 Policy ve Observability

eBPF (extended Berkeley Packet Filter) son 3 yılın en önemli kernel teknolojilerinden biri. Linux kernel’inde sandbox’ta program çalıştırma imkanı saÄŸlıyor; network policy, observability, security için yeni bir abstraction layer. Isovalent 2025 Cilium Performance Report eBPF tabanlı Cilium’un iptables tabanlı çözümlere göre p99 latency’de %42 daha düşük olduÄŸunu gösteriyor. L7 visibility (HTTP method, gRPC service, Kafka topic) Cilium’da native, Calico’da Enterprise tier.

Ãœretim deneyimi: L7 policy iki ana use case için kritik. Birincisi, micro-segmentation: hangi servis hangi API endpoint’ine çaÄŸrı yapabilir? Ä°kincisi, audit logging: hangi servis hangi gRPC method’unu çağırıyor, ne sıklıkta? PCI DSS ve HIPAA compliance için L7 visibility artık zorunlu.

• HTTP method filtering: GET, POST, DELETE bazlı policy.
• gRPC service ve method bazlı policy.
• Kafka topic ve consumer group bazlı policy.
• DNS-aware policy: FQDN bazlı egress kuralları.
• Identity-aware: SPIFFE ID bazlı policy enforcement.

Deny-All Default ve Micro-Segmentation Migration

Network policy’nin en kritik prensibi: deny-all default. CIS Kubernetes Benchmark v1.9 her namespace için baseline default-deny policy önerir. Ancak production cluster’larda bu pattern’in benimsenmesi düşük; CNCF 2025 raporu sadece %29’unun default-deny uyguladığını gösteriyor. Migration playbook’u kademeli olmalı.

İlgili konu: Zero Trust Kubernetes mTLS rehberimizde detayları bulabilirsiniz.

WireGuard, IPsec ve mTLS Encryption

Pod-to-pod traffic encryption 2026’da artık opsiyonel deÄŸil. NIST SP 800-207 Zero Trust Architecture network içi ÅŸifreleme’yi mandatory kontrol olarak iÅŸaretledi. Calico ve Cilium her ikisi de WireGuard ve IPsec destekliyor. WireGuard 6x daha az kod tabanı, performans olarak IPsec’e göre %23 daha düşük overhead. mTLS application-level alternatifi, ancak service mesh gerektirir.

Sektörel Use Case ve Compliance

Sektörel benimsenme compliance baskısı altında hızlanıyor. Finans sektöründe PCI DSS gereÄŸi data plane segmentation zorunlu; JP Morgan Chase 2025 Tech Report Calico Enterprise kullanımına geçtiÄŸini açıkladı. SaÄŸlık sektöründe HIPAA için L7 audit logging gerekli; Cilium yaygın seçim. Telco sektöründe 5G core için ultra-low latency gereksinimi nedeniyle Cilium’un eBPF dataplane’i tercih ediliyor.

Kurumsal Network Policy Dönüşümünde Karşılaşılan Tipik Sorunlar

Danışmanlık projelerinde gözlemlenen tipik darboğazlar:

• Default-allow policy bırakılmış; deny-all baseline tanımlanmamış.
• Network policy yazımı manuel; her servis için ayrı YAML, scale etmez.
• L7 policy’ye doÄŸrudan geçiÅŸ denenmiÅŸ; L3/L4 olgunlaÅŸmadan kompleksite artıyor.
• Observability eksik; policy ihlali tespiti reaktif, audit log yetersiz.
• Encryption kararı ertelenmiÅŸ; cluster içi trafik plain text akıyor.
• Multi-cluster policy sync yok; her cluster’da farklı policy seti var.

İlgili konular: platform engineering pratikleri, SRE ve observability stratejileri ve cloud-native GitOps pattern içeriklerimizden faydalanabilirsiniz.

Sonuç

Calico ve Cilium arasındaki seçim sadece bir CNI kararı deÄŸil, güvenlik ve observability mimarinizin temeli. Calico olgun, geniÅŸ ekosistemli ve enterprise tier’ı kapsamlı; Cilium eBPF-first felsefe, L7 native ve performans öncelikli senaryolar için doÄŸal seçim. 50+ servis ve L7 visibility gerekiyorsa Cilium’a yatırım yapın; geleneksel network operasyon ekibinin yakınlığı ve enterprise destek önemliyse Calico daha rahat bir geçiÅŸ sunuyor. Önce 90 günde namespace-by-namespace deny-all baseline’ı oturtmadan L7’ye geçmeyin.

Sıkça Sorulan Sorular

Resmi kaynaklar için Calico dokümantasyonunu, Cilium resmi rehberini, hardening önerileri için NSA Kubernetes Hardening Guide’ı ve sektör analizi için CNCF Annual Survey raporlarını inceleyebilirsiniz.