nt Mesh 在节点上使用一个共享的 ztunnel 代理来处理网格的零信任机制，而 L7 处理出现在单独调度 Pod 中的 waypoint proxy 中。
为什么要采用这种间接的方式，而不是在节点上使用共享的完整 L7 代理？有如下几个原因：</p><ul><li>Envoy 本质上不是多租户的。 因此，在一个共享实例中混用多个不受约束租户的 L7 流量的复杂处理规则存在安全问题。
通过严格限制 L4 处理，能够显著减少漏洞影响�