在像 Envoy 这样的服务网格边车代理中，在服务之间转发流量，确保所有网络流量都是加密的，并且只有允许的服务可以相互通信。
在这种情况下，VPC 设计应该是什么样子？是否会在网格中的所有主机之间启用东西向流量？或者，通过仅启用特定主机之间的流量，零信任是否也可以扩展到这一层？
尝试强制执行单独的防火墙规则（例如，“运行服务 A 的这 5 台主机可以与运行服务 B 的这 5 台主机通信”）将很快变得复杂，尤其是在具有临时或自动缩放基础设施的大型网格中。网络基础设施自动化会有所帮助，但在包含数千台主机的非常大的网格中，单个规则的数量很快就会变得难以管理。