如何从上游Envoy访问私有网络后的下游Envoy及后端服务

我已在Envoy仓库提交相关Issue，现向社区寻求帮助。具体场景：

• 存在一台搭载管理服务的中心上游Envoy，需连接多个位于私有网络内的集群
• 这些集群的下游Envoy仅支持出网，无入网权限
• 希望上游管理服务能通过HTTP或TCP请求访问下游Envoy后的应用

已尝试的方案及遇到的问题：

• 参考混合云场景案例，试过TCPProxy、Sandbox示例
• WebSocket仅支持一对一流，无法满足多服务反向代理需求
• 了解到Envoy Connect/TCPProxy可实现该需求，但找不到与上游Listener连接的下游Cluster端点，相关文档说明不足

相关参考内容：

• StackOverflow混合云网络隧道配置案例
• GitHub Issue #22697
• WireGuard客户端跨私有网络通信方案

内容的提问来源于stack exchange，提问作者Mark