服务网格通过边车代理与控制平面协同，基于服务身份和L7规则实现细粒度流量控制与安全策略，支持跨集群统一管理，达成零信任下的动态访问控制。
服务网格在云原生架构中通过将网络通信与业务逻辑解耦，实现了对服务间流量的精细化控制。实现服务网格中的网络策略，主要依赖于其数据平面和控制平面的协同工作，而不是传统的基础设施层网络策略（如Kubernetes NetworkPolicy）。
服务网格网络策略的核心机制
服务网格（如Istio、Linkerd）通常由边车代理（Sidecar）和控制平面组成。服务间的所有请求都经过注入的边车代理，这使得网格可以在应用层（L7）实施细粒度的访问控制和流量管理。
网络策略在服务网格中表现为一系列声明式规则，控制服务之间的调用权限、路由行为、加密方式和安全认证。这些策略由控制平面下发给各个边车代理，代理根据策略执行实际拦截或转发动作。
基于身份的安全策略控制
传统网络策略多基于IP和端口（L3/L4），而服务网格使用服务身份（如SPIFFE ID）来标识工作负载。这种基于身份的模型更适应动态编排环境，避免因IP频繁变更导致策略失效。
- 每个服务实例在启动时被自动分配唯一身份
- 策略规则可定义“服务A是否允许调用服务B”
- 结合mTLS实现双向认证，确保通信双方合法
细粒度的流量控制策略
服务网格支持基于HTTP头部、路径、方法等L7信息制定策略，远超传统防火墙的能力范围。
- 可以配置“仅允许特定Header的请求访问订单服务”
- 实现API级别的访问控制，例如限制GET/POST权限
- 支持按用户、租户或环境进行流量隔离
策略的部署与生效方式
以Istio为例，管理员通过CRD（如AuthorizationPolicy、PeerAuthentication）定义策略，控制平面将其转换为配置并推送到Envoy代理。代理实时加载策略，无需重启应用。
这种机制实现了策略与应用代码分离，支持灰度发布、快速回滚和集中审计。同时，策略可以跨命名空间、跨集群统一管理，适合大规模微服务场景。
基本上就这些。服务网格通过身份化、代理化和声明式API，把网络策略从基础设施提升到服务治理层面，真正实现了“零信任”安全模型下的动态访问控制。
