privatelink 底层是如何实现的？

最近在思考 privatelink 实现原理，其中有个一点非常好，就是单向隔离机制，consumer 可以访问 provider ，但 provider 不能直接访问 consumer ，自己思考了下其实本质上就是维护一个会话表（类似于防火墙）或者进行了 snat ，不知道我这么理解是否正确，希望接触过的 v 友给点提示。