Как работает docker network connect и изолировать сервисы?

Контейнеры в одной сети видят друг друга, в разных — нет без явного соединения. docker network connect net container добавляет контейнер в сеть. В docker-compose разные networks для изоляции: frontend сеть (nginx + app), backend сеть (app + db). nginx не видит db напрямую, только app. app доступна в обеих сетях. Принцип наименьших привилегий на сетевом уровне.