iptables

Docker 发布的端口默认会绕过 ufw 防火墙规则，通过向 iptables 的 nat 表和 filter 表写入 DNAT 和 FORWARD 规则直接暴露端口。

eBPF是Linux内核中的虚拟机，可动态挂载到网络、系统调用、跟踪点等钩子执行沙箱化字节码，相比iptables具有可编程性高、性能开销低、能获取进程级元数据的优势。

更务实的自托管安全路线是在操作系统或容器层面做网络隔离（如eBPF或iptables/nftables），配合凭证代理和短期令牌，代价是部署复杂度上升。