Владимир Дементьев

1. >Какая network в prod должна быть?
Работая на поддрежке в одном банке(ТОП10) каждая среда (тест/препрод/ПРОД) находились в разных изолированных друг от друга подсетях. Среда подразумевала связанный контур - фронт-шина-бэкенд-БД в одной подсети.
В других банках подсетями не заморачивались. Так же в крупной компании, где я сейчас работаю так же нет изоляции между системами.
2.1 Зачем вам VPN и весь этот геморой?
2.2 БД в докере... На мой взгляд, так себе решение. Хотя смотря что за БД и какая на ней нагрузка. У нас продуктовая БД вообще как отдельная инфраструктура и серваки там овердохера RAM.
3. Для "деплоя" рассмотрите вариант с артефактами в gitlab. По крайней мере я так сделал на своем проекте. Сборка у меня происходит на одном серваке, а деплой на другом. При этом не надо заниматься онанизмом с копированием между серваками.

Установки php интерпретатор. Под windows можно использовать IIS, который входит в состав компонентов windows. Как настроить, есть документация по шагам на сайте мелкософта. Для отладки тебе хватит с головой.