У Linux немає функції, яка називається контейнер. Є namespaces, які визначають, що бачить ваш процес, cgroups, які визначають, що він може використовувати, набір мережевих механізмів та образ, який виявляється папкою плюс виклик chroot або pivot_root. П'ять функцій у плащі. Автор рантайму, створеного з нуля, вважав це одночасно розчаровуючим і корисним. Я теж. Ізоляція реальна, але це ізоляція видимості та ресурсів, а не стіна. Наступного разу, коли щось протече між контейнерами, ви точно знатимете, яку з п'яти функцій звинуватити.