�括 kubelet 健康探测器。根据您的 CNI，kubelet 探测器和链接本地地址可能会被此策略忽略，或被其阻止：</p><pre><code class=language-yaml data-expandlinks=true data-repo=istio>apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-ingress
spec:
  podSelector:
    matchLabels:
      app.kubernetes.io/name: my-app
  policyTypes:
  - Ingress</code></pre><p>一旦 Pod 注册到 Ambient 网格中，健康探测数据包将开始通过 SNAT 分配一个链接�