ALLOW_ANY模式下未被istio-proxy拦截的流量为何出现在日志中？

你的认知存在错误，核心逻辑纠正如下：

• 当meshConfig.outboundTrafficPolicy.mode配置为ALLOW_ANY时，Istio Sidecar会拦截所有出站流量，并非不拦截未配置ServiceEntry的外部请求
• 对于没有对应ServiceEntry或K8s Service的外部域名（如google.com），Istio会将流量转发到PassthroughCluster进行透传处理，整个过程依然经过istio-proxy，因此会被记录到访问日志中

从你提供的日志字段也能验证这一点：

• upstream_cluster: "PassthroughCluster"：表明该流量是通过透传集群处理的
• route_name: "allow_any"：对应你配置的全局出站策略

结论：istio-proxy会记录所有经过它的流量，包括这类透传的外部请求——只要流量被Sidecar拦截并通过proxy转发，就会生成访问日志。

内容的提问来源于stack exchange，提问作者Phil Chae