Не должны Ансибл волновать никакие "уже существующие порты". Всё необходимое для использования в модуле фаерволла должно быть перечислено в инвентори, а не добываться через задний проход башизмами с регулярками.
В Гитлабе есть секреты, куда, помимо прочего, можно положить и SSH-ключи.
Но вообще, раз у вас на хостах уже запущены раннеры - значит, доступ уже есть и достаточно добавить пользователю gitlab-runner нужные права, например, через sudo.
Развести по нестандартным HTTP-портам, поставить перед обоими нгинкс. А лучше - разнести по разным виртуалкам/контейнерам (и поставить в третий нгинкс в качестве гейта + HTTPS). Снапы какие-то, баловство...