一、什么是Ambient Mesh
Ambient Mesh 是 Istio 在 2022 年提出的下一代 Service Mesh 形态，通过去掉每个 Pod 强制注入的 Sidecar 代理，转而采用节点级「ztunnel」+按需「waypoint」代理的分层架构，显著降低资源开销与运维复杂度。它是对传统 Sidecar Mesh「每跳一跳代理」导致的高延迟、高资源占用模式的反思与演进，使 Mesh 在保持零信任、可观测能力的同时，更适合大规模生产与对性能敏感的微服务场景。
二、原理
1. ztunnel 节点级代理：以 DaemonSet 形态部署，提供 mTLS 与 L4 能力 → 2. waypoint 按需代理：对需要 L7 能力的服务按命名空间或服务粒度部署 → 3. HBONE 隧道协议：节点间加密隧道实现零信任通信 → 4. 无 Sidecar 注入：业务 Pod 不再强制注入 Envoy Sidecar → 5. 平滑迁移路径：支持 Sidecar 与 Ambient 共存并逐步迁移 → 6. 可观测与策略：保持原有遥测、流量管理与安全策略能力
三、信息卡片
| 中文名 | Service Mesh 演进 Ambient Mesh |
| 英文名 | Ambient Mesh |
| 缩写 | Ambient Mesh |
| 别名 | Service Mesh 演进 Ambient Mesh |
| 提出者 | 2017 年 Istio 1.0 发布 |
| 提出时间 | 2017 年 |
| 所属类别 | IT 基础架构与开发 > IT基础架构与开发 |
| 核心技术 | Istio 推出的无 Sidecar 轻量化服务网格新形态 |
| 主要应用 | Istio 推出的无 Sidecar 轻量化服务网格新形态 |
四、历史时间线
2017 年 Istio 1.0 发布，Sidecar 模式成为 Service Mesh 事实标准。
- 2021 年 Sidecar 资源开销成为大规模落地痛点。
- 2022 年 Istio 社区提出 Ambient Mesh 概念。
- 2024 年 Ambient Mesh 在多个版本逐步成熟并进入生产可用阶段。
- 2025 年 Ambient Mesh 与 Gateway API、Cilium 等生态融合，成为 Sidecar 模式的有力补充。
五、分类
- 基础资源层：计算、存储、网络硬件与虚拟化
- 平台中间层：容器、编排、服务网格与中间件
- 应用架构层：微服务、Serverless、事件驱动
- 研发效能层：CI/CD、平台工程、开发者体验
六、应用场景
- 大型企业 IT 基础设施现代化
- 云原生应用开发与部署
- DevOps 与平台工程实践
- 数据密集型系统建设
- 多云与混合云管理
七、优缺点
- 优点：
- 降低资源开销：去除每 Pod Sidecar 后，典型资源消耗降低 60%-80% 左右
- 减少延迟抖动：少一跳代理使 P99 延迟显著改善
- 简化运维：不再需要处理 Sidecar 注入、升级、调试等复杂流程
- 保留零信任能力：通过 ztunnel 仍可获得 mTLS 与身份认证
- 支撑渐进式落地：与现有 Sidecar 体系平滑共存
- 缺点：
- 运维复杂度上升：组件数量增多导致故障域与排障路径变长
- 学习曲线陡峭：新平台、新范式对团队技术能力要求较高
- 生态绑定风险：过度依赖单一开源项目或云厂商会带来锁定
- 性能与成本平衡：高级特性往往伴随额外资源开销与许可成本
八、常见误区
- 新平台一定优于旧平台（错：需结合团队能力、业务规模与生态成熟度）
- 开源方案没有成本（错：人力、运维、安全加固等隐性成本不容忽视）
- 上云就能解决所有问题（错：跨云、成本治理、可靠性仍是难点）
- 一次架构升级能管十年（错：架构需随业务持续演进）
九、关联概念
- 父概念：云计算 Cloud Computing、FinOps云财务运营
- 子概念：云原生、混合云
- 兄弟概念：多云管理、容器化（Containerization）
- 对比概念：Kubernetes容器编排、Microservices · 微服务
- 应用相关：DevOps · 开发运维一体化、数据库 Database
