Для базы - настраивается реплика. Выбирается окно для техработ, в течение которого никто никаких изменений не вносит, файлы синхронизируются, реплика базы открывается на запись, а на старом сервере оставляется только nginx, проксирующий запросы на новый, на пару-тройку дней до обновления DNS-записей.
Правильно ли я понимаю, что вы хотите в этой панели натыкивать руками, то есть - развести зоопарк, и поэтому стандартный набор вроде Puppet+Foreman или Ansible вам не подходит?
Возможно, стоит добавить логирование. Тормозить может много где - от резолва доменов и TLS-хэндшейка до скорости сети, хилого процессора и медленных дисков под базой.
Если вам нужны как можно более свежие пакеты - Дебиан максимально неподходящий дистрибутив. В целом, как уже совершенно правильно заметили выше - лучше подключать отдельные репозитории, а не всю нестабильную ветку.
Для начала я бы настроил мониторинг активности диска, потом добавил бы atop и auditd, чтобы можно было посмотреть корреляции между моментами высокой нагрузки, процессами и конкретными файлами.
Если не хочется возиться со скриптами, попробуйте BounCA - это простецкая вебморда, делающая ровно то, о чём вы спрашиваете. Если же хочется - как правильно сказали выше, easy-rsa.
Удивлюсь, если кто-то согласится бесплатно дебажить ваши туннели. Курите логи подключения, ищите сообщения об ошибках, это полезно в долговременной перспективе.
