Docker：使用 CNI 插件主机设备而不是 net=host 选项更好的网络隔离？

在安全/网络命名空间隔离方面，使用“host-device”插件代替“--net=host”选项有什么附加价值？

使用CNI插件“host-device”移动到容器中的网络接口可以继续被宿主使用吗？

编辑

容器应该提供一个 DHCP 服务器，为连接到主机以太网接口“eth0”的设备配备 IP。使用“host-device”插件，我希望我可以将dhcp.conf和dhcp.lease文件都放在容器中而不是主机上，并且比“--net=host”更安全按照目前的情况实施。