This only lists supplementary group memberships, not the user who have this group as their primary group. And it only finds local groups, not groups from a network service such as LDAP.
Сделайте отдельные блоки server для локального адреса и внешнего (как вариант - разнесите по разным портам) и настройте внутри них разную обработку запросов.
Нет, не нужен. Либо в ТП сидят дубы, либо (что вероятнее) - вас пытаются развести на дополнительные деньги. Расскажите им, что в 2019 году не мочь SNI - это, мягко выражась, странно.