设想以下情况：应用程序a在服务网格内工作，而应用程序b是appa的外部服务。应用程序a应向应用程序b发送tcp请求。
在简单的情况下，我们设置了一个 ServiceEntry 与 hosts 以及 resolution: DNS 而且效果很好。
但是当我连接出口网关时，请求是如何路由的？istio网站上的教程说要应用serviceentry、destinationrule、gateway和virtualservice配置。我认为请求路径如下：

appA -> Mesh Gateway -> VirtualService -> Egress Gateway -> VirtualService -> ServiceEntry -> appB

沿途使用的destinationrule在哪里？为什么？
在我的例子中，应用程序b的角色由一群kafka代理执行。因此，我需要配置一个与所有代理使用ssl的tcp连接。我拥有所有代理的主机，如何正确配置与它们的连接？我尝试对所有主机使用一个serviceentry，但错误是 "multiple hosts provided with non-HTTP,non-TLS ports" .
这是否意味着我需要1）为每个主机创建一个serviceentry，或2）直接指定主机的ip地址？