网络命名空间

在生产环境中应使用网络命名空间（如无默认路由、仅允许访问出口代理）实现结构性网络隔离，因为应用层检查可能被有创意的工具调用绕过。

网络命名空间是 Linux 内核提供的网络隔离机制，每个命名空间拥有独立的网络接口、路由表和防火墙规则。

使用eBPF或网络命名空间可以监控和限制Agent的出站连接，实现目标地址白名单。

网络命名空间是Linux用于隔离网络栈的机制，每个命名空间拥有独立的网卡、路由表、防火墙规则和端口空间；跨命名空间攻击需内核漏洞而非简单配置更改。