За счёт чего Docker-контейнер изолирован от хоста?