Service Mesh 中主流的流量劫持方案基于两种技术：iptables 或 eBPF 。然而，这两种解决方案总是存在一些性能问题，例如所有数据流量包在通过服务网格数据平面时都必须多次经过网络协议栈。如果使用其他轻量级 VM 容器（如 Kata Container），会经过更多的网络协议栈，这会造成一定的性能损失、系统资源消耗并增加服务延迟。因此，我们为 Istio Ambient Mesh 中的 Kata 容器运行时提出了一种新的流量劫持方案。 baisc 的思路是：通过 Kata Container 的改变以及 vhost-user 对 ztunnel 的支持，可以实现同一节点上的 ztunnel 和 app 容器之间直接进行数据交换，显着提高通信效率，降低服务延迟。