Alexey Dmitriev

Вы упустили настройки почтового сервера. Он должен подписывать закрытым ключем все письма.
Открытый ключ от пары ключей вы добавляете в DNS, а закрытым подписываете письма.
В случае linux серверов для подписи обычно используется opendkim

Запись mail и SPF, DMARC, DKIM должны совпадать и вести на сервер, который обрабатывает почту для домена.
Будут не совпадать - будете иметь проблемы с отправкой почты.
Если вам необходимо из php слать почту - ничто не мешает вам отсылать ее, используя в качестве релея ваш почтовый сервер.

Это адрес, который DHCP будет раздавать клиентам в качестве DNS сервера.
Если не понимаете чего-то и все работает - оставьте как есть.

Выключить регистрацию в DNS в свойствах сетевого адаптера и создать руками нужные статические записи.

При переносе сайта к другому хостеру есть следующие варианты избежать сбоев и простоя.
1. Держать две копии сайта в старой и новой локации (БД можно использовать общую) , пока не пройдет смена DNS и плюс запас на обновление кеша локальных DNS серверов клиентов.
2. Перенести сайт в новую локацию, а на старой оставить какой-то reverse proxy, который будет проксировать запросы к сайту на IP адрес новой локации. Потом начать смену DNS.
3. Поднять в третьей локации Балансировщик нагрузки, перенести DNS на него, а потом уже переезжать - как вам будет угодно.

Можно по Whois пробить - например здесь
https://www.whois.com/whois/hosthp.net

У zyxel есть для их роутеров keenetic свой встроенный DynDNS. Пользуюсь им.

Сомневаюсь, что такой сервис есть - в бесплатном состоянии.
Перенаправление портов вообще в DNS никакого отношения не имеет, а ваша задача довольно своеобразна, чтобы под нее кто-то бесплатный сервис придумывал.

Содержимое проверочной DNS TXT записи генерируется произвольно каждый раз.
Поэтому нужно запустить certbot, скопировать DNS запись, не прерывая выполнение certbot, обновить ее в DNS, дождаться когда на сервере, где запущен certbot эта запись будет резольвится с обновленным содержимым - и только после этого продолжить проверку.

Плохая мысль. Если у вас AD integrated DNS - будут серъезные проблемы с динамическим обновлением записей.

Можете поэкспериментировать с экспортом-импортом записей, либо создать связку primary secondary зон и по идее primary DNS сервер должен слить все данные на slave\secondary linux

Не могу представить внятной причины, в которой звучит слово "отдельно". Типа отказоустойчивость если только.
А так - нет никакой разницы - где и что будет лежать - если это работает как надо, стабильно и все устраивает по цене, функционалу и т.п.

Если под проблемами у master host вы подразумеваете какие-то технические проблемы, но файловый хостинг (видимо так вы называете просто хостинг) остается у них - даже в случае наличия dns в другом месте ваш сайт будет недоступен.

Нет, не попортит.

certbot имеет подключаемые модули как раз для таких случаев. Для cloudflare DNS он точно есть
https://certbot.eff.org/docs/using.html#dns-plugins

смотреть в /etc/resolv.conf
именно там прописываются системные DNS серверы, которые использует и nginx.
Нужно заменить имеющиеся на 127.0.0.1 - тогда все будет проходить через dnsmasq.

Вообще вместо dnsmasq могли просто статические записи в /etc/hosts использовать.

Что мешает купить wildcard сертификат на домен1?

Да, Microsoft DNS умеет это стандартно из коробки.
Нужно создать две одинаковых DNS записи с разными ip и включить на DNS сервере или серверах опцию Netmask Ordering

Конечно все ip адреса должны быть настроены в настройках сетевой или сетевых карт.
В выводе команды ifconfig дополнительные адреса присутствуют?

Ошибки почты смотрятся в файле /var/log/maillog.
1. Обнулите файл, попытайтесь отправить почту и приведите содержимое файла
2. Опишите как настроена почта? Стандартных настроек недостаточно для отправки - у вас должен либо быть настроен релей на какой-либо почтовый сервер в настройках sendmail, либо ваш сервер должен быть настроен на отправку почты для домена site.ru (со всеми вытекающими SPF, DKIM, DMARC и т.п.).

Откуда брать резольвить DNS записи - разницы нет - при нормальной работе DNS любой DNS сервер должен отдавать одинаковые записи, поэтому "магия" при смене DNS в общем и целом может быть только из-за наличия старой записи в кеше конкретного сервера.

Webmin точно умеет управлять DNS серверов bind. ПО поддержке Powerdns etc. не скажу.