用途：Istio 是开源服务网格，用于企业级 Kubernetes 服务网格，实现微服务间零信任 mTLS 加密、流量管理与遥测；支持金丝雀与蓝绿流量切分、故障注入与混沌测试、出站与入站流量治理。
主要能力：通过 VirtualService 与 DestinationRule 实现基于百分比的流量转移；通过 PeerAuthentication 的 STRICT 模式强制网格内双向 TLS；通过故障注入（延迟与中止）验证应用韧性；通过 Ingress Gateway 保护入站流量；支持 Ambient Mesh 无侧车模式。
使用方式：以 YAML 资源配置。例如金丝雀发布用 DestinationRule 定义 v1/v2 子集并设置 ISTIO_MUTUAL TLS，再用 VirtualService 设置权重、超时与重试；熔断用 DestinationRule 的 connectionPool 与 outlierDetection。
适用场景：企业 Kubernetes 服务网格、金丝雀与蓝绿发布、故障注入与混沌测试、出入口流量治理。
限制与注意事项：资料未提供具体版本与安装命令；建议在可用时使用 Ambient Mesh 以消除 sidecar 资源开销；敏感环境应限制 Egress 通配符访问；避免对同一主机混合冲突的 VirtualService 规则；不要将 sidecar 部署到未处理终止的短时批处理 Pod。常见问题包括 503（检查端点与子集标签）、mTLS 握手失败（核对 PERMISSIVE/STRICT 与证书）、sidecar 高延迟（调整 CPU 限制与连接池）。