�行健康探测和合法应用程序流量，因此简单的基于端口的允许是不可接受的。</p><p>各种 CNI 实现以不同的方式解决这个问题，
并试图通过从正常策略执行中默默排除 kubelet 健康探测或为其配置策略例外来解决这个问题。</p><p>在 Istio Ambient 中，这个问题通过结合使用 iptables 规则和源网络地址转换（SNAT）来解决，
以便仅重写可证明来自具有固定链路本地 IP 的本地节点的数据包，
以便 Is