NetworkPolicy в namespace не видит хостовый процесс. node-exporter, fluent-bit и otel-collector на hostNetwork открывают сокет от PID узла, и iptables пода их не ловит. Реальная граница - eBPF на cgroup: Cilium host firewall, default-deny egress, DNS-proxy и toFQDNs. Разрешены только ClusterIP своего DNS и внутренний ClickHouse. Имен monitoring.googleapis.com, logs.googleapis.com, datadoghq.com, dc.services.visualstudio.com и ingest.sentry.io в политике нет. Спан - это не метрика. В атрибутах сидят путь запроса, user-id и кусок промпта. Такой поток в зарубежный APM - трансграничная передача по 152-ФЗ. Hubble с verdict DROPPED фиксирует FQDN до выхода в WAN. Режим audit без enforce дыру не закрывает: поток виден и всё равно уходит. Экономика та же, что у гравитации данных. 40 нод по 100 спанов/с и 1 КБ - порядка 10 ТБ/мес. Egress $0.09/ГБ даёт около $900, подписка APM $15-31 на хост добавляет $600-1240. Свой ClickHouse на стойке держит тот же ряд за диск и ватты, без абонентки за телеме...