ky0

Нгинкс - веб-сервер. Для проксирования трафика общего назначения (не HTTP) есть гораздо более подходящее ПО, например iptables/nftables.

Потому что сертификация в РФ - это необходимость занести кому надо, а вовсе не гарантия качественного и беспристрастного аудита. Не занесли - остались без бумажки.

Я бы задачу разбил на два этапа - сначала собираете find`ом все пути к файлам, потом натравливаете на получившийся список архиватор. И зачем -regex, который наверняка даёт оверхед, если можно просто искать по маске?

Сервер физически один, никаких балансировщиков, облачных сервисов и т.п. нет.

Горизонтально масштабировать, добавить балансировщики, облачные сервисы и т. п.

Стандартный набор проверки:

1. Юзер, из-под которого запускается.
2. Используемый шелл, переменные окружения, абсолютные пути.
3. Каталог, в котором выполняется.

Профессиональное решение: любой стабильный почтовый сервер + человек, достаточно хорошо в нём разбирающийся. Начать даже стоит, пожалуй, со второго.

Как-то сумбурно описано. Если для локейшена нужен другой корневой каталог - просто укажите его абсолютный путь.

Сертификат может быть доверенным, но не валидным из-за того, что он отдаётся не по тому имени.

Имхо, сейчас стало настолько просто выпустить нормальный сертификат через Let`s Encrypt, что геморроиться с самоподписанными могут только очень упёртые люди :)

Заводите новый дроплет со свежей ОС, переносите всё нужное со старого. Обновление дистрибутива "вживую" (тем более сразу на несколько версий вперёд) - операция, далеко не всегда заканчивающаяся без проблем.

Покупать целую циску ради одного впна как-то странно. Думаю, что сначала нужно набросать план "как будет потом" и вписать железку, которая будет терминировать впн, в него. Может, органичнее будет и с какого-нибудь линукса поднять туннель, например. А так-то 100 мегабит может и EOL ASA5510, не говоря уж о более свежих.

Вы что-то очень странное хотите. Впн у цисок поднимается не с железок а-ля 2911, и не опенвпн, а айписек с цисковпном.

Во-первых, хорошо было бы решить, по какому интерфейсу будет ехать трафик к шлюзу. Затем - обдумать, не получится ли, что ответ на пакет через один интерфейс уедет через второй - во многих дистрибутивах подобное поведение по умолчанию не обрабатывается.

Можно не дублировать, разнеся по разным блокам. Так проще, если у вас не различается обработка запросов к HTTP и HTTPS-версии сайта.

Что за протокол передачи?
Данные пишутся на диск? Если да - что за диски на ПК?
iperf пробовали?

Причина - размер пакета, который по пути приходится сначала фрагментировать, а на месте склеивать обратно. Чем тупее железка - тем для неё это сложнее. Если нет возможности это настроить на уровне приложения/ОС, можете попробовать прокинуть туннель, который будет сам этим заниматься, отправляя в интернет уже нормального размера пакеты. Стандарт - 1500 (1460) байт.

Спешные конфигурения перед выездом с объекта - к неработающей хрени и второй, более вдумчивой, итерации.

Нет, для впн-клиента ничего открывать не нужно, достаточно доступа в интернет.

upd. если настраиваете и сервер тоже - разумеется, нужно открыть порт снаружи.

Проброс портов долго делать и надо разобраться.

Разбирайтесь.

Либо сделайте как белые люди - проксирование через промежуточный узел с белым адресом.