Возьмем пример с calico, который может анонсировать сервисную сеть кластера либо всю сразу, либо по /32 только с тех нод, на которых действительно есть эндпойнты сервиса. Это относительно простое решение иметь один адрес на все ингрессгейтвеи истио.
прибить все ингрессгейтвеи к одной подсети и делать где-то снаружи SNAT всего из этой сети на один source ip. И все равно железка, которая натит, должна знать о сетях в кубере.
