> Не понимаю почему его так xeйтят.

потому что феерическое гуано, похоронившее (засравшее поляну) хорошую идею изоляции приложений.
На редкость корявое, глючное, ненадежное, недописанное в самых примитивных фичах. Написано альтернативно-одаренными разработчиками для девопсов, админы тут рядом не стояли.

Ну вот одна только распрекрасная идея "автоматического" самозахвата сетевых адресов из используемых в корпоративных (да и в датацентровских) сетях диапазонов - которые только вот в наираспоследней версии стало можно хотя бы пооверрайдить (оно обладает псевдоинтеллектом, чтобы выбрать себе адрес, отсутствующий на интерфейсах, прекрасно, что будем делать, когда этот блок присутствует в соседней стойке - и она должна быть доступна и с этого хоста - тоже?) - говорит о квалификации этих людей, и о том, где именно они работают.

> Что он вам сделал плохого?

нам приходится с этой пакостью жить, потому что если десять лет назад можно было заставить/уговорить разработчиков что нет, вы не будете использовать эту модную прекрасную фичу еще недописанного толком модуля, потому что у нас несовместимый с ним пихон, и нет, третью версию пихона помимо двух уже установленных мы на прод не потащим, то сегодня их невозможно уже уговорить хотя бы согласовывать что именно они тащат в проект из гитхаба или еще каких-то помоек. Модные современные язычки с пакетными менеджерами вида "все в хомяк", чего даже php себе не позволял, очень им тоже в этом поспособствовали.

В результате да, докер не о надежности, и не о защите системы, а о том, как донести этот "продукт"(вторичный) от машины разработчика (на которой "все работало, это у вас все на сервере криво") до прода, не просыпав по дороге миллион скотчем примотанных или просто сверху набросанных деталек, без которых оно нежизнеспособно. То есть это исключительно средство доставки приложений.

Но и это он делает хреново.