Георг Гаал

Написано же - неверный конфигурационный файл nginx
Вероятная причина: в качестве апстрим указан другой контейнер. И он не стартанул или упал на момент запуска nginx

Для начала надо понять, что чтобы БД не пропала - ее нужно сохранить вне контейнера. Т.к. контейнер эфемерен, и его ФС может исчезнуть при удалении контейнера. Есть два способа для этого: volume и bind mount. Первый сохраняет данные в именованном или неименованном volume в каталоге /var/lib/docker/volumes и есть риск, что его случайно удалите (например, при docker-compose down -v ). Второй способ позволяет хранить данные вовне контейнера в файловой системе хост машины. Это более надёжно.

Let's Encrypt можно использовать и без интернета. У него есть два механизма валидации. HTTP01 и DNS01. Первый требует доступности узла из интернета (не годится). Второй - не требует, но требует доступа к изменению DNS записей. Это хорошо работает только для облачных провайдеров (Azure, Amazon Route53, Google Cloud... и CloudFlare). Поэтому кратко - да, LE можно выписать себе и без интернета.
С другой стороны, можно собрать автоматизацию, которая будет на узле с доступом в интернет получать необходимые сертификаты, а потом как-то из закрытого контура их оттуда можно уже забрать... Но такое себе.

Касательно TLS/SSL без подписи. Никто не мешает установить на сервер самоподписанный сертификат. Главное, чтобы у него Common Name совпадал с FQFN, по которому Вы ходите на сервер. По прямым IP работать не будет!!! Это особенность проверки. Так вот. Самоподписанный сертификат добавляете в trusted store компьютера, где красный замочек с крестиком.... магия.... и замочек становится зелененьким.

Я не совсем понял вопроса.

Дело в том, что Gitlab-CI это не про это.
Он для каждого нового tag (при создании через веб-интерфейс или при пуше в репо) создает новый пайплайн. Вытащить tag можно либо через переменную CI_COMMIT_TAG или CI_COMMIT_REF_NAME / CI_COMMIT_REF_SLUG

Если же тэг хранится в репозитории в файле, то можно его из него и вытащить (голову репозитория надо рассказать как спуллить?).

Ansible, Salt или powercli для vmware.
А можно взять terraform