能否通过IP地址绕过Kubernetes中的Istio服务网格？

是的，直接通过Pod的IP地址访问目标Pod，确实会绕过Istio的服务网格配置，包括你提到的mTLS功能，你的理解是正确的。

原因很简单：Istio的所有流量管控、加密认证能力，都是通过注入到Pod里的**Sidecar代理（Envoy）**来实现的。正常情况下，Pod的进出流量都会被Sidecar拦截处理，从而触发Istio的各种规则。但直接访问Pod IP的请求，会跳过Sidecar的流量劫持逻辑——这种访问不走Istio的服务发现和路由体系，相当于直接和应用容器通信，完全绕开了Envoy代理，自然也就不会应用Istio的任何配置。

如果要让流量受Istio管控，必须通过Istio注册的服务名来访问服务，而不是直接用Pod IP。只有这样，流量才会经过Sidecar代理，触发mTLS加密、路由策略等Istio配置。

内容的提问来源于stack exchange，提问作者Tim