Хост — гостевая VM: гипервизор (KVM/QEMU) даёт ему «виртуальное железо». Это настоящая аппаратная виртуализация — своё ядро, свой изолированный компьютер.
Контейнеры внутри — не виртуализация. Они делят одно ядро хоста; изоляция чисто программная — namespaces (свой список процессов, своя сеть, свои файлы) и cgroups (лимиты CPU/памяти). Оверхеда VM нет, но и стены тоньше: дыры в изоляции (privileged, доступ к docker.sock, host-PID) реально открывают хост.
Бейдж справа — насколько «тонки стены» контейнера: строгая — ничего лишнего; обычная — стандарт Docker; ослабленная — добавлены capability / host-PID / снят AppArmor; = хост — privileged или доступ к docker.sock, фактически власть над хостом. Бары — доля CPU и потребляемая память контейнера.
Порт держит процесс — показываем его имя и PID. Для проброшенных в контейнер портов Docker поднимает docker-proxy; мы разворачиваем его в имя контейнера-получателя (→ имя). Группировка — по тому, откуда порт виден: весь интернет (0.0.0.0), внутренняя сеть или только loopback (127.0.0.1 — снаружи недоступен).
root — суперпользователь. Группа sudo даёт право им стать, docker — управлять контейнерами (это почти root). Надёжнее всего, когда SSH пускает только по ключу, а вход по паролю и прямой вход root выключены.