服务对象与地域限制
PuppyIP 仅面向海外合规企业及其授权人员提供服务，不面向中国大陆地区开放或提供代理服务。本服务仅限用于中国大陆境外的合法业务活动，严禁在中国大陆境内使用本服务。
代理 IP 或服务器位于境外，不改变上述限制。不得通过中转、转接、共享或转售向中国大陆境内的最终使用者提供本服务。使用前请阅读用户服务协议。
本文要点
- Cloud SDK 592.0.0 将 --enable-ambient-networking 提升为 GA 命令参数；ambient networking 产品仍为 Preview。
- 集群至少需要 GKE 1.36.4-gke.1391000、受支持的 Regional Cloud Service Mesh 区域、Gateway API、Fleet、Workload Identity 与 Dataplane V2。
- Preview 仅覆盖单集群 L4；Istio API、sidecar 与 proxyless gRPC 互通、headless Service、trafficDistribution 和 GKE Sandbox 均有明确限制。
- ambient 标记 Pod 的每小时费用在 Preview 期间不执行，但 Cloud Observability 与 Certificate Authority Service 标准费用仍适用。
先把命令参数 GA 与产品 Preview 分开
Google Cloud 的 2026 年 11 月 3 日发布说明称，Cloud SDK 592.0.0 将 --enable-ambient-networking 提升为 GA 命令参数，适用于 gcloud container clusters create、create-auto 与 update。这说明 gcloud 命令接口中的该参数进入 GA 阶段。
但 GKE ambient networking overview 和 preparation 页面仍把产品标为 Preview，并注明适用 Pre-GA 条款。命令参数 GA 不会自动把 ambient networking 产品、支持范围或其余预览条件改成 GA；也不能据此推断某个项目已经可以创建或更新符合条件的集群。
逐项核对集群资格
准备页面要求 GKE 版本为 1.36.4-gke.1391000 或更高，并且集群必须位于 Regional Cloud Service Mesh 支持的区域。请在变更前对照官方区域清单；区域在清单中只是必要前提，不证明指定项目、配额或集群当前已具备开通能力。
还需确认 Gateway API、Fleet、Workload Identity 和 GKE Dataplane V2。对现有集群，准备页面另外要求 Dataplane V2 已启用，机器类型为 e2-standard-4 或更大，并检查该集群已加入 Fleet、启用 Gateway API 与 Workload Identity。不要只检查 gcloud 是否接受这个参数，就当成资格核验完成。
把 Preview 互通范围对照到工作负载
当前 Preview 支持单集群的 Layer 4 mesh 能力。它要求 Kubernetes Gateway API，不支持 Istio API。已加入 ambient 的工作负载不能与 sidecar 注入工作负载或 proxyless gRPC 工作负载互通；准备页面还列出 headless Services、Service 的 trafficDistribution 字段和 GKE Sandbox 为不支持项。
因此，先盘点真正需要一起通信的工作负载和 Service，再判断这些限制是否会排除目标集群。不要把其他 Cloud Service Mesh 或 Istio 部署方式的功能范围套用到这个 Preview，也不要把单集群 L4 的说明扩大为多集群或 L7 能力承诺。
核对流量策略与节点组件限制
在命名空间添加 networking.gke.io/dataplane-mode=ambient 标签用于加入流量重定向范围；仅有集群开关或该标签，不等于已经配置并验证 mTLS（双向 TLS）。若要求 mTLS，应另行配置相应服务端和客户端 TLS policy，并检查控制器接受状态；官方准备文档也指出策略传播需要时间。
准备页面记录了一项条件性安全限制：若节点上的 gke-ambient-nriplugin 不可用，入站流量的身份认证与授权执行可能被绕过。这是文档描述的故障模式，不是某个集群已发生事件或遭到攻击的证据；评估预览部署时应把该可用性依赖纳入风险判断。
Preview 不执行哪些费用，哪些仍需付费
价格也有两个不同边界：ambient 命名空间中标记的 Pod 对应每小时 USD 0.004 的项目，但文档说明 Preview 期间不执行此项计费；Cloud Observability（Monitoring、Logging）与 Certificate Authority Service 的标准费用仍适用。Regional Cloud Service Mesh 页面另将当前区域服务价格指向 global 定价，并把区域 SKU 描述为未来 GA 阶段事项；这不代表相关服务整体免费。
用资格和限制决定是否试点
如果需求只是使用新进入 GA 的 gcloud 参数，应将它与产品成熟度分别记录。只有目标版本、支持区域和全部集群前置条件都对得上，且工作负载不依赖上述不支持的互通方式时，才把 ambient networking 作为 Preview 试点来评估；需要 GA 产品承诺的工作负载不应把这个参数状态当作替代依据。
当前官方文档可用于筛除不符合条件的集群，却不能证明具体项目的配额、权限、服务开通状态或实际可用性。本文只整理所列官方资料，不表示已在任何 GKE 集群执行变更、验证连通性或确认客户环境资格。
资料来源
常见问题
准备页的 permissive mTLS 策略会拒绝明文请求吗？
不会。官方示例中的 permissive 服务端策略同时接受 mTLS 与明文流量；它用流量嗅探区分二者，并提醒这可能影响应用自身 TLS 或 MySQL 这类服务端先发送数据的协议。不要把示例策略直接当作强制 mTLS 配置；应先核对工作负载协议与所需策略模式。
控制器接受 TLS policy 后可以立即判断连通结果吗？
准备页指出服务端策略被控制器接受后，传播最多可能需要三分钟；客户端策略步骤则提示继续下一步前可能至少要等待两分钟。这是官方示例的操作等待条件，不是端到端延迟或实际成功率承诺。应区分策略被接受、策略传播与实际连接验证。