前面我們完成了 Calico 網絡的部署並運行了容器，今天將討論 Calico 的連通性。
測試一下 bbox1 與 bbox2 的連通性：
ping 成功，數據包流向如下圖所示。
① 根據 bbox1 的路由表，將數據包從 cal0 發出。
② 數據經過 veth pair 到達 host1，查看路由表，數據由 enp0s8 發給 host2（192.168.56.105）。
192.168.183.64/26 via 192.168.56.105 dev enp0s8 proto bird
③ host2 收到數據包，根據路由表發送給 calic8bf9e68397，進而通過 veth pair cali0 到達 bbox2。
192.168.183.65 dev calic8bf9e68397 scope link
接下來我們看看不同 calico 網絡之間的連通性。
創建 cal_net2。
docker network create --driver calico --ipam-driver calico-ipam cal_net2
在 host1 中運行容器 bbox3，連接到 cal_net2：
docker container run --net cal_net2 --name bbox3 -tid busybox
calico 為 bbox3 分配了 IP 192.168.119.5。
驗證 bbox1 與 bbox3 的連通性。
雖然 bbox1 和 bbox3 都位於 host1，而且都在一個 subnet 192.168.119.0/26，但它們屬於不同的 calico 網絡，默認不能通行。
calico 默認的 policy 規則是：容器只能與同一個 calico 網絡中的容器通信。
calico 的每個網絡都有一個同名的 profile，profile 中定義了該網絡的 policy。我們具體看一下 cal_net1 的 profile：
calicoctl get profile cal_net1 -o yaml
① 命名為 cal_net1，這就是 calico 網絡 cal_net1 的 profile。
② 為 profile 添加一個 tag cal_net1。注意，這個 tag 雖然也叫 cal_net1，其實可以隨便設置，這跟上面的 name: cal_net1 沒有任何關系。此 tag 后面會用到。
③ egress 對從容器發出的數據包進行控制，當前沒有任何限制。
④ ingress 對進入容器的數據包進行限制，當前設置是接收來自 tag cal_net1 的容器，根據第 ① 步設置我們知道，實際上就是只接收本網絡的數據包，這也進一步解釋了前面的實驗結果。
既然這是默認 policy，那就有方法定制 policy，這也是 calico 較其他網絡方案最大的特性。下一節就我們討論如何定制 calico policy。
