服务网格通过Sidecar代理与控制平面协同，实现流量治理自动化。利用Envoy等代理透明拦截Pod流量，结合iptables/eBPF劫持，无需改代码即可完成请求转发、mTLS加密、认证鉴权；控制平面（如Istiod）通过VirtualService、DestinationRule等CRD定义路由、负载均衡、熔断策略并下发至数据面，支持灰度发布、故障注入等高级场景，提升系统可观测性与运维效率。
服务网格通过在每个服务实例旁部署轻量级代理（即数据平面），结合统一的控制平面，实现对微服务间流量的精细化管理。这种架构将流量控制逻辑从应用代码中剥离，交由基础设施层处理，从而提升系统的灵活性和可观测性。
基于Sidecar代理的流量拦截
服务网格在每个服务 Pod 中注入 Sidecar 代理（如 Istio 使用 Envoy），所有进出服务的网络请求都会被透明拦截并经过代理处理。这意味着无需修改业务代码，即可实现流量的重定向、加密、认证等操作。
- 应用只与本地代理通信，代理负责转发请求到目标服务
- 通过 iptables 或 eBPF 技术自动劫持流量，实现零侵入
- 支持双向 TLS、请求认证、限流等功能在代理层完成
控制平面定义路由规则
控制平面（如 Istiod）提供 API 接口，允许用户声明式地配置流量策略。这些规则会动态下发到各个 Sidecar 代理，确保全网一致执行。
- 虚拟服务（VirtualService）：定义路由规则，例如按路径或 Header 将请求分发到不同版本的服务
- 目标规则（DestinationRule）：设置负载均衡策略、连接池限制、熔断参数等
- 网关（Gateway）：管理入口和出口流量，控制外部访问入口
支持高级流量场景
借助细粒度的规则配置，服务网格可轻松实现灰度发布、金丝雀发布、故障注入等复杂场景。
- 将 5% 的用户流量导向新版本服务进行验证
- 模拟延迟或错误响应，测试系统容错能力
- 根据用户身份或设备类型路由到特定服务实例
基本上就这些。通过数据面与控制面分离的设计，服务网格把流量治理变成可配置、可观测、可动态调整的能力，大大降低了微服务运维复杂度。
