文章详解Istio Ambient模式从部署到调优的完整流程。基于Kubernetes 1.32+和Istio 1.31+，通过`istioctl install --set profile=ambient`启用该模式，核心优势是Node级ztunnel直连（无需sidecar容器），自动建立服务间mLTS加密通道，并同步TCP级监控指标。部署后命名空间需打`istio.io/dataplane-mode=ambient`标签，服务自动启用mLTS，通过日志验证ktunnel通信。高级功能需部署waypoint网关（对应Gateway API CRD），通过`istioctl waypoint apply`为服务创建独立HTTP路由，此时启用L7重试、流量镜像、细粒度鉴权等功能。配置金丝雀路由需确保Service打`istio.io/use-waypoint=true`且写入正确的HTTPRoute规则，注意未部署waypoint时路由策略无效。常见误区包括同命名空间混用sidecar与ambient模式，需保持sidecar注入标签与ambient模式互斥；安全策略需额外配置AuthorizationPolicy限制访问；重试策略需优先调整超时机制避免雪崩。适用场景包括新集群建设、多语言混合服务环境、集中管理mLTS等场景，已有sidecar网格建议逐步迁移，且需注意与Cilium等CNIs的兼容性问题。通过实例演示了从环境部署到路由策略配置的完整链路，并给出验证日志的方法和流量分析工具Kiali的查看方式。

Service Mesh将东西向服务间通信从业务SDK迁移至数据平面代理，不改变业务逻辑。核心功能独立于基础架构实现：控制平面管理路由、超时、熔断、重试预算和mTLS策略，数据平面执行代理转发。需注意三点：一、明确南北向职责边界，API网关处理入口鉴权，Mesh专注服务间治理；二、推进路径应先部署观测和流量控制（超时/重试），再实施全网格加密；三、代理产生运行成本，Sidecar按Pod计费，Ambient按节点，Waypoint按L7调用触发。适用条件为多语言微服务集群（超过10-15个服务）、需要统一mTLS/acls/金丝雀的多团队协作场景，单语种小团队更适合Linkerd等轻量方案。部署优先级建议：先实现基础服务网格功能（如 metrics、tracing），接着上线熔断/降级功能，最后部署全链路加密。