Alexey Dmitriev

Для того, чтобы иметь актуальные версии ПО - нужно иметь актуальную и поддерживаемую ОС.
В частности Debian делает официально образа для Raspberry https://wiki.debian.org/RaspberryPi4#Tested_and_Da...

Клиент должен доверять корневому центру сертификации, подписавшему сертификат на сервере. Либо иметь опцию игнорировать проверку и принимать любые сертификаты.
Private key никогда и никому не отдается.

Вы поиск не пробовали использовать? Вчера здесь был вопрос.

В официальном репо есть готовые примеры
https://github.com/XTLS/Xray-examples/tree/main/Re...

Никак

Развернуть на сервере с VPN adguard home или pihole.
Включить и настроить в них блокировку рекламы.
Передавать адрес VPN сервера как адрес DNS сервера для VPN подключений.

Чтобы понять - нужно изучить CI\CD в Jenkins.

Если вам критично нужна RouterOS (непонятно - зачем, если есть linux из коробки), запустите ее в Docker внутри любого Linux из предлагаемых FirstVDS.

Установите и запустите Wireshark и запишите весь трафик при обращении к нетфликсу через полный VPN.
Потом адреса проверяйте и превращайте их в подсети через whois.

"Что вообще должно быть Ит отделе?"
По минимуму должно быть следующее:
1. Процесс по инвентаризации оборудования и ПО (хотя бы в файлике Excel)
2. Управление учетными записями (политики паролей, хранение и т.п.). Тут все зависит от огранизации и используемого окружения.
3. Процесс по установке обновлений безопасности для ОС, ПО и firmware оборудования.
4. Процесс резервного копирования данных и описание процесса восстановления инфраструктуры после сбоя.
Опционально - процесс по получения инцидентов и запросов на обслуживание от пользователей (servicedesk)

Что от вас будут хотеть проверяющие - тут уже нужно обсуждать предметно.

Для полного удаления всех офисов есть официальный Microsoft office uninstaller от MS.

PPTP использует протокол GRE, ищите VPN, который умеет внутри себя GRE пропускать.

"На данный момент frontend открывает и по example.com и по api.example.com"
А почему не должен открывать, если DNS имя api.example.com смотрит на ваш сервер и в настройках nginx есть блок default_server, который обрабатывает все неописанные имена доменов.

Есть готовый образец конфигов
https://github.com/XTLS/Xray-examples/tree/main/VL...