ky0

Установите atop в режиме хранения истории. С помощью него найдёте виновника - и можно будет диагностировать дальше более узко.

Форвардинг происходит не "на интерфейс", а "на адрес". Если добавлено корректное правило фаерволла и разрешён форвардинг - пакет сам улетит в нужный интерфейс в соответствии с таблицей маршрутизации.

Ну и зачем же вы, фронт, занимаетесь эксплуатацией? Намите на фрилансе админа, он вам за два часа всё нормально настроит.

Squid настраивается очень просто, рекомендую его.

Инструменты такие же, как без WG - tcpdump, netflow и т. д.

Вы безусловно можете выставить свой DNS-сервер в интернет - и любая зона, обрабатываемая им, станет доступна снаружи. Нюанс в том, чтобы клиенты приходили за информацией именно к вашему серверу, а не к тому, который прописан у соответствующего домена в NS-записях.

Добавление /usr/sbin в PATH не даёт никаких новых привелегий - как определённые бинарники не выполнялись из-под обычного пользователя, так и не начнут. Фактически, любой пользователь может напрямую обратиться к программе из /usr/sbin по полному пути и без PATH.

Берёте список процессов (например, ps auxww), грепаете его и оставляете только нужные вам поля.

Создайте отдельного пользователя без админских прав - и запускайте ваши бинари из-под него. Если там внутри не 0-day уязвимость с повышением привелегий - этого будет достаточно, чтобы не огрести непоправимых последствий.

Не вижу тут никакого простора для баша. Копировать файл можно с помощью builtin-модуля copy, вам останется только перечислить хосты в inventory.

1. Полностью ОС не бэкапим (разве что у вас виртуалка с возможностью снятия снапшота).
2. Смотрим, какие данные требуют бэкапа (конфиги сервисов, БД, файлы), сохраняем.

Если вы думаете, что где-то процесс установки "значительно проще" - то вы ошибаетесь. Во всех случаях нужно понимать, что делаешь и какие изменения внести в настройки сети.

Посмотрите права на каталоги, в которых всё это лежит.

Подключите настоящий телефон через ADB.

Возможно, это не честная виртуалка, а контейнер и настройки на неё прилетают с хоста. Либо через cloudinit.