Как спроектировать service mesh sidecar на Go?

Sidecar proxy перехватывает весь трафик контейнера (iptables redirect). Функции: mTLS, retry, circuit breaker, load balancing, observability (metrics, traces). Конфигурация от control plane через gRPC streaming (xDS protocol). Go: быстрый сетевой I/O, горутина на connection. Data plane: Envoy-like прокси. Control plane: service discovery, certificate management.