�访问请求，就会有机会发现可疑流量并且采取纠正措施。</p><p>注意如果是应用程序发起的 TLS，Istio 的 sidecar 代理就只能看到 TCP 流量和包含 SNI 的 TLS 握手。源 pod 的标签可以识别出流量来源，但是 pod 的服务账号或者其它源识标识符也可以用来识别流量。我们把出口流量管控系统的这个特性叫做 <em>Kubernetes 可感知</em>：这个系统必须理解 Kubernetes 组件，比如 pod 和服务账号。如果这个�