Alexey Dmitriev

Ответы на вопросы можно найти в официальной документации https://letsencrypt.org/ru/docs/

На то, что "торчит" снаружи и куда смотрит DNS запись.
То есть на nginx reverse proxy.

Трафик между nextcloud и nginx можете вообще по http гонять если они находятся в доверенной сети и требования пропустят.

Этого в конфиге nginx.conf не должно быть
include /etc/nginx/sites-available/*.conf;
только это
include /etc/nginx/sites-enabled/*.conf;

Это стандартный подход включения выключения сайтов в nginx путем создания и удаления симлинков с /etc/nginx/sites-available/ в /etc/nginx/sites-enabled/

С чего вы решили, что проксирование http\https поможет вам достучаться до RDP?
Настраивайте через stream
https://docs.nginx.com/nginx/admin-guide/load-bala...

Правильный подход - избавиться от модулей, требующих устаревшую и неподдерживаемую версию php.
Ее использование подвергает опасности весь сервер.
Если это невозможно - то нужна максимальная изоляция этого окружения от всего остального - тут docker вам как раз в руки, его можно использовать и на вашем железе.
Проксировать ваш конкретный домен в докер можно вашим же nginx (nginx reverse proxy)