ดีเบลล์และเสียงนกหวีดพิเศษเรียกว่าการแยกกระบวนการคอนเทนเนอร์ได้รับเนมสเปซของตัวเองจากโฮสต์เคอร์เนลซึ่งหมายความว่าโปรแกรมในคอนเทนเนอร์ไม่สามารถลองอ่านหน่วยความจำเคอร์เนลหรือกิน RAM มากกว่าที่อนุญาต
นอกจากนี้ยังแยกเครือข่ายสแต็คดังนั้นกระบวนการสองกระบวนการสามารถฟังบนพอร์ต 8080 สำหรับตัวอย่างคุณจะต้องจัดการการกำหนดเส้นทางในระดับโฮสต์ไม่มีเวทมนตร์ที่นี่ แต่การจัดการเส้นทางในที่เดียวและหลีกเลี่ยงการแก้ไขการกำหนดค่ากระบวนการเพื่อ ฟังพอร์ตฟรี
ประการที่สอง chroot ยังคงอ่าน / เขียนการเปลี่ยนแปลงใด ๆ เป็นสิ่งที่ถาวรนักเทียบท่าที่ใช้คอนเทนเนอร์aufs
จะเริ่มจากระบบไฟล์ที่สะอาดทุกครั้งที่คุณเรียกใช้งานคอนเทนเนอร์ (การเปลี่ยนแปลงจะถูกเก็บไว้หากคุณหยุด / เริ่มต้น IIRC)
ดังนั้นในขณะที่คอนเทนเนอร์อาจถูกมองว่าเป็นprocess namespace
+ chroot
แต่ความเป็นจริงนั้นซับซ้อนกว่าเล็กน้อย