Что бы не было утечки ДНС-запросов используйте https://dnscrypt.org/
Потому что в вашем варианте некриптованный трафик идущий к гуглу вполне может быть перехвачен и подменен злонамеренным провайдером.
Ну удалите вы каких-то пользователей, но кто мешает с хост-системы подмонтировать вашу виртуалку?
Только выделенный сервер у себя дома под кроватью! Только хардкор!
Оградить от кривых рук контейнером. Не пускайте его на саму систему, сделайте ему lxc-таз. Так как у таза будет свой адрес этому адресу ограничивайте что и как хотите по сети.
Могу посоветовать на один порт, плюс usb для 3G/4G-модема, с возможностью установки OpenWRT.
TP-Link TL-MR3020
Очень приятная мелкая железка.
Посмотрите, может у него есть какие-то родственники с двумя портами.
Самое дешевое и разумное хранить на собственных серверах и отдавать через какой-нибудь CDN. Возьмите дешевый сервер у kimsufi и храните. А доверять картинки магазина кому-то, кто их может стереть в любой момент — плохая идея.
