AlexVWill

Потому что Google определяет местоположения не только по IP но и по другим параметрам. И если при входе с этого IP он ранее уже определил местоположение как РФ, то в следующий раз он может это учитывать, и ставить местоположение для соединения руководствуясь прежними данными не считаясь с тем, к какой стране относится IP. В Google тоже слышали про VPN и понимают что не всегда по IP можно верно определить фактическое место нахождения пользователя.

Для web сервера на Apache можно сделать авторизацию по паролю...
https://www.digitalocean.com/community/tutorials/h...
Или по сертификату + паролю.
https://stuff-things.net/2015/09/28/configuring-ap...
Доступ по IP не является способом авторизации, а лишь способом ограничения доступа...
Если всеже надо именно ограничение по IP, то это делается указанием нужного IP в конфиге виртуального хостинга. Вот тут https://www.8host.com/blog/sozdanie-intraseti-s-po... примерно похожая задача решается, если я правильно понял задуманное.

Не надо так, это гиморно и не безопасно, сделай просто регистрацию по эккаунту Google, у всех людей он давно есть, ты получишь в итоге то, что хочешь + безопасность и верификацию дополнительно.
https://developers.google.com/identity/sign-in/web...

Нужен VPN сервер на VPS, расположенном на территории России, для доступа к домашнему роутеру из вне

Для этого не нужен VPS, достаточно получить статический IP и поднять на роутере или домашней машине VPN сервер. Из протоколов, которые не блочатся пока это SSTP и IPSec (второй как то блочили, но, видно у РКН закончилось помутнение рассудка, и теперь он опять работает).
Вообще, при наличии статического IP и VPN не нужен для указанной задачи, просто он повышает сильно безопасность. А при наличии просто белого не статического IP (от РТК к примеру) можно вообще обойтись тем, что есть, подняв на роутере какой то DynamicDNS клиент.

как исправить этот пробел в безопасности

Никак... В озвученной постановке вопроса. Потому как даже промежуточные прокси и VPN не спасут ОРД, потому как всю цепочку при большом желании можно открутить назад.
Вообще, надо понять что в данном случает понимается под "пробел в безопасности". Сетевая безопасность от вторжения извне и взлома системы к этой ситуации не имеет прямого отношения.
Если говорить про безнаказанность в ситуации при совершения какого либо правонарушения (морально-этическую сторону оставляем за скобками), то творить всякое со своей VPS (особенно если она зарегистрирована на реального пользователя) в любом случае крайне не рекомендуется, для этого есть более другие инструменты вроде ТОR или I2P.

Да.

Можно на Android Studio или QT, но для Android удобнее создавать приложения на Java или Kotlin (последний специально для этого был создан).

SSTP и раньше была "темной лошадкой", сейчас подавно.

Ничего в ней темного нет, поднимается без проблем за 15 минут через установку SoftEther server. И работает отлично, сам пользуюсь.

Какой отечественный linux выбрать для веб-разработки?

Никакой. Для web-разработки абсолютно фиолетово какой у тебя Linux, отечественный или нет. И если нет какой то особой осознанной нужды в использовании именно отечественных изделий, то лучше держаться от них подальше.

sudo netstat -tulpn | grep postgres
Что выдает?