定向规则，
以便拦截进入和离开 Pod 的数据包并透明地重定向到在<a href=https://github.com/istio/ztunnel/blob/master/ARCHITECTURE.md#ports>已知端口</a>
（15008, 15006, 15001）上侦听的节点本地 ztunnel 代理实例。</p></li><li><p>然后，<code>istio-cni</code> 节点代理通过 Unix 域套接字通知 ztunnel 代理，
它应该在 Pod 的网络命名空间内建立本地代理侦听端口（在端口 15008、15006 和 15001 上），
并为 ztunnel 提供代表 Pod �