在生产环境中应使用网络命名空间（如无默认路由、仅允许访问出口代理）实现结构性网络隔离，因为应用层检查可能被有创意的工具调用绕过。