ну, они позиционирую как облачное и типо учитывая маску маршрутов получаешь изоляцию без туннелирования ждём записи докладов с опенстек митап, там был рассказ
Calico works this way because it targets use cases where instances are attached either to provider networks directly, or (in Neutron data model terms) to tenant networks that are attached through a router to a provider network.