NetworkPolicy в namespace не видит хостовый процесс. node-exporter, fluent-bit и otel-collector на hostNetwork открывают сокет от PID узла, и iptables пода их не ловит. Реальная граница - eBPF на cgroup: Cilium host firewall, default-deny egress, DNS-proxy и toFQDNs. Разрешены только ClusterIP своего DNS и внутренний ClickHouse. Имен monitoring.googleapis.com, logs.googleapis.com, datadoghq.com, dc.services.visualstudio.com и ingest.sentry.io в политике нет. Спан - это не метрика. В атрибутах сидят путь запроса, user-id и кусок промпта. Такой поток в зарубежный APM - трансграничная передача по 152-ФЗ. Hubble с verdict DROPPED фиксирует FQDN до выхода в WAN. Режим audit без enforce дыру не закрывает: поток виден и всё равно уходит. Экономика та же, что у гравитации данных. 40 нод по 100 спанов/с и 1 КБ - порядка 10 ТБ/мес. Egress $0.09/ГБ даёт около $900, подписка APM $15-31 на хост добавляет $600-1240. Свой ClickHouse на стойке держит тот же ряд за диск и ватты, без абонентки за телеметрию. Контур, где телеметрия не названа в allowlist, её не выпускает. Разбор границы eBPF и политики имён: https://run-as-daemon.dev/?utm_source=telegram&utm_medium=smm&utm_campaign=rad_ru&utm_content=setevaya-izolyatsiya-ebpf-v-k8s-predotv.