и контейнеры, и элэксси, и файрджейл делают изоляцию с помощью пространств имен. файрджейл просто плюс к этому использует аппармор для более точных запретов.
ну, по идее, я его трогал года два назад в последний раз. мне так из документации кадется.
если точнее
lxc == контейнеры
namespace != контейнеры
docker юзает И lxc И namespace
а firejail юзает namespace но не контейнеры