Vigilo Confido

мне кажется стоит смотреть на число активных сокетов контейнера (ip адреса) App1. У меня ощущения что вы упираетесь в максимальное число открытых портов для исходящих соединений.
Подробнее можно прочитать здесь и провести указанное исследование https://www.percona.com/blog/2014/12/08/what-happe...

> Как работает параметр user при запуске докер-контейнеров и, самое главное - как обрабатывать его при написании своих Dockerfile'ов?

никак. Параметр user это костыль, который позволяет софт запускать не от root'ового пользователя. Объяснять почему запускать в докере под пользователем 0 (root) что-либо - долго, но если кратко, то это очень плохо и не секурно. Соответственно, правильный путь Вы уже поняли:

1. определять entrypoint контейнера как свой самописанный docker-entrypoint.sh скрипт
   
2. в docker run оставить возможность передать ключ (точнее - переменную среды) USER
   
3. в docker-entrypoint.sh его (ее, переменную среды) подхватывать и изменять через chmod/chown нужные файлы в bind-mount (каталогах, доступных и в контейнере, и на хосте) и через утилиту gosu переключаться в нужного пользователя
   
4. и только как завершающий этап - запускать свой сервис в докере
   

Что еще добавить. Все эти проблемы с chown/chmod возникают только если необходимо перегонять файлы между контейнером и хостом. Если этой задачи не стоит, то и все приседания и не нужны. А если все-таки нужно, то есть еще два способа это сделать без колдования с правами:

• команда docker cp
  
• использование pipe: docker exec container_name cat MY_FILE > path_on_host или аналогично
  

По вашим ссылкам откройте вкладку тестов и заметите, что hap ac2 производительней, а так же поддерживает хаидварно шифрование

Я думаю вам подойдёт такое решение, как Clonezilla Server Edition
Данный способ позволит заливать обновленный образ в пределах локальной сети.
В данной статье описан опыт по созданию бекапов https://habr.com/post/128558/
Однако, не сложно адаптировать конфигурацию сервера под разворачивание бекапов.

Если не хочется каждый раз перезаливать образы, то можно использовать какую-либо систему оркестрации, совместимую с Windows (к примеру, Ansible) и выполнять переконфигурацию и обновление софта скриптами и установочными пакетами.