Alexey Dmitriev

Для автоматизации процесса установки Ubuntu используются:
1. Ubuntu cloud image + cloud-init
2. Packer и т.п. и сборка golden image с нужными настройками.

Использовать CI\CD, которая сделает все за вас после изменения вами кода.

Нужно:
1. Обеспечить выдачу клиенту статического адреса через конфигурирование сервера OpenVPN.
2. Настроить разрешающее правила прохождения трафика в iptables.
3. Ниже разрешающего правила закрыть доступ для ip адреса клиента к подсети openvpn в iptables.

При корректно настроенном listen 127.0.0.1:8080 nginx будет слушать порт только на внутреннем интерфейсе loopback и к нему физически не сможет прийти никто кроме 127.0.0.1.
Никакие allow здесь не нужны по факту.

Брокер не является прокси для RDP соединений, у него другие функции.
Вам для подключения по RDP нужно создать DNS запись, которая будет смотреть на ip адреса всех 4 серверов RDP в ферме и использовать ее.

1. Отключить на устройствах в настройках RDP использование UDP протокола.
2. Выбрать незанятый на 3 роутерах порт.
3. Сделать проброс этого порта со всех адресов с WAN первого роутера на ip адрес WAN Интерфейса второго роутера.
4. Сделать проброс этого порта со всех адресов с WAN интерфейса второго роутера на ip адрес WAN Интерфейса третьего роутера.
5. Сделать проброс порта с WAN Интерфейса третьего роутера на порт 3389 на ip адрес нужного компьютера.
6. Включить на компьютере удаленный доступ.

Нет, не "нужен монопольный доступ на 443 порт для маскировки не твоих человечьих дел".
Для VLESS-Reality по крайней мере, точно, для других вариантов, да нужен.

Если хотите 443 порт для xui, у вас два пути:
1. Ищете вариант шифрования в xray, позволяющий делать проксирование через caddy, типа
https://github.com/XTLS/Xray-examples/tree/main/VL...
2. Отдаете xray 443 порт и настраивайте в нем fallback на caddy, висящий на другом порту.

Если коммутатор позволяет. можете запустиь на нем.
Если не позволяет, можете использовать pfsense и пробросить нужный scope в VLAN через DHCP relay

Так, как задумано разработчиками и описано в документации https://kubernetes.io/docs/tutorials/services/conn...

гуглить "socksify linux", если есть реализация для отправки трафика с интерфейса или маркированного в iptables - Значит можно, если нет - значит нельзя.

Может стоит хотя бы почитать про функционал Windows Server, прежде чем спрашивать? В нем есть поддержка webdav из коробки, в Windows 10+ есть клиент webdav из коробки

Компьютерные политики правильнее применять к компьютерам, пользовательские - к пользователям. Только так они работают (исключая включение loopback - но loopback - это очень плохо).
Не важно, если у вас подразделения содержат и тех и других.
Любая фильтрация в GPO, кроме Item-level Targeting - это плохо, использование групп безопасности в качестве фильтров GPO - очень плохо.

Почему вы решили, что 127.0.0.1 в WSL и на Windows хосте - это одно и тоже?

вбитая руками - да, полученная от DHCP - нет.

Начать:
1. получения требований заказчика.
2. с оценки квалификации
3. Возможного повышения квалификации не на проде\поиска специалиста.

Ах да и самое главное - приучить себя не лезть в прод, если вы не понимаете, что делаете, и что еще более важно - если вы не сможете сделать полный откат ваших изменений.

Но так как все вышенаписанное может быть пропущено мимо ушей - то просто погуглите "How to migrate exchange 2013 to 2019" и сделайте как написано.

Вам нужно закрыть входящий (INPUT) трафик, кроме трафика, нужного для создания VPN соединения,
закрыть исходящий трафик (OUTPUT), кроме трафика, необходимого для создания VPN туннеля,
закрыть проходящий трафик (FORWARD), кроме трафика клиентов.

Советую создать вам разрешающие правила при политиках ACCEPT (iptables -P блабла - j ACCEPT), а последней строкой добавить -j LOG, тогда вы сможете увидеть в /var/log/messages не описанный правилами трафик и проанализировать его. Когда этот трафик будет проанализирован - можно включать политики по умолчанию в DROP

Нужно погуглить и найти подходящий вам вариант конвертации ВМ VirtualBox в qcow2.

Test-ComputerSecureChannel -Repair

Graylog. В гугле забанили?