概述
proxy_arp 是网卡的一个配置，在开启后，该网卡会使用自己的 MAC 地址应答非自身 IP 的 ARP Request。常见的用途就是当两台主机的 IP 在同一个网段内，二层却不通，就可以使用额外的一台主机作为 proxy，将这台主机的网卡开启 proxy_arp，来作为中间代理打通网络。如下图所示：
开启网卡的 proxy_arp 也很简单：
echo 1 > /proc/sys/net/ipv4/conf/veth1/proxy_arp
calico 是一个使用路由方案打通网络的网络插件，在作为 k8s cni 时，其也使用了 proxy_arp，作为打通路由的一个环节。在了解 calico 如何使用 proxy_arp 之前，我们先看一下 flannel 的 host-gw 是如何使用路由打通 pod 网络的。
flannel host-gw 路由方案
两台二层互通的主机上的 pod，如果要通过路由来互相访问，常见的方式是类似于 flannel 的 host-gw 模式。其流量路径如下：
- 每台主机上都有一个 bridge，pod 通过 veth pair 接入到 bridge 上。
- pod 将 bridge 的 ip 作为网关。这样 pod 访问其他网段的 IP 时，流量就会到达 bridge 上。
- 流量到达 bridge 后，就可以根据宿主机上的路由表转发到对端主机。
- 对端主机也会根据路由表，将流量从 bridge 转发到 pod 内。
calico 的路由方案
相比于 flannel host-gw 模式，calico 采用了更巧妙的方法，省掉了 bridge。
其 veth pair 的一端在 Pod 内，设置为 pod 的 IP，另一端在宿主机中，没有设置 IP，也没有接入 bridge，但是设置了 proxy_arp=1。
pod 内有以下的路由表：
default via 169.254.1.1 dev veth2
169.254.1.1 dev veth2 scope link
169.254.0.0/16 是一个特殊的 IP 段，只会在主机内出现。不过这里这个 IP 并不重要，只是为了防止冲突才选择了这个特殊值。当 Pod 要访问其他 IP 时，如果该 IP 在同一个网段，那就需要获取该 IP 的 MAC 地址。如果不在一个网段，那么根据路由表，就要获取网关的 IP 地址。所以无论如何，arp 请求都会到达下图中的 veth1。
因为 veth1 设置了 proxy_arp=1，所以就会返回自己的 MAC 地址，然后 Pod 的流量就发到了主机的网络协议栈。到达网络协议栈之后，就和 flannel host-gw 一样，被转发到对端的主机上。
流量到达对端主机后，和 flannel host-gw 不一样的是，主机上直接设置了 pod 的路由：
172.19.2.10 dev veth1 scope link
也就是直接从 veth1 发到 pod 内。
《proxy_arp在calico中的妙用》上有1条评论