lufasab

Как это вообще правильно назвать?

full screen navigation

Заменить Garamond чем-либо другим очень сложно, почти невозможно - слишком характерный шрифт. И ко всему прочему, имеет очень низкие строчные, любая подмена будет сильно скакать. Ну то есть подменить Гарамон можно только другим Гарамоном.
Полностью надежного варианта, увы, не существует. Можно только закрыть бреши с некоторой вероятностью:
- на Маках одно время был Apple Garamond, но не уверен, что есть сейчас
- на Винде Garamond есть у части пользователей, поставивших себе определенные версии MS Office https://www.microsoft.com/typography/fonts/font.as...
- на обоих системах может присутствовать Adobe Garamond, если юзер пользуется Фотошопом
- на Линукс проще забить.

А если вопрос был не именно о Гарамоне, а вообще, то вот:
www.cssfontstack.com

Serif — это шрифт с засечками.
Sans-serif — без засечек.

Многие сайты часто берут пару из serif + sans-serif. Один для заголовков, второй для текста.

Универсально — Arial. Ставьте вторым, не прогадаете.
Но если в дизайне где-то есть serif-шрифты, тогда нужно им подобрать пару — Georgia, по-моему, есть во всех ОС. Ну и да — ставьте serif третьим в списке, чтобы подтянулся любой доступный.

Таких универсальных шрифтов нет. В Windows свой комплект, в Mac свой, в Linux свой. А в Ведроиде — у Хрома и Лисички разные шрифты.

Любая цепочка должна кончаться шрифтами serif, sans-serif или monospace — это стандартные шрифты браузера. Браузер их применит, если не найдёт других. Ну и, разумеется, нежелательны serif/monospace на малых кеглях (есть риск, что будут плохо смотреться).

HTML сделан (по крайней мере изначально) так, чтобы он как-то рендерился на любом устройстве, возможно, с перевёрсткой. Может оказаться, что браузер (например, мобильный) вообще не поддерживает внешних шрифтов, а из внутренних имеет две-три штуки.

Идеал — сделать страницу так, чтобы на «чужом» шрифте она нормально читалась.

Да, переменные в css можно использовать - Переменные в CSS: зачем они нам?

@custom-media - а это что-то из области postcss наверное.

DNS это распределённая база данных со строгой иерархией, переводящая доменные имена в ресурсные записи(IP, mail и т.д.). NS записи указывают доменные имена DNS-серверов ответственных за нужную запись или домен. И нужны они только для передачи ответственности за домен другому серверу. Так же если имя указанного DNS-сервера находится в том же домене, что и запрашиваемое имя, то необходимо указать IP-адрес DNS-сервера. Просто наличие лишней точки в имени не создаёт необходимости передачи субдомена другому серверу.
CNAME же существует для создания альтернативных имён. Если создать запись test.example.net. CNAME www.google.com, то при попытке получения IP-адреса Web-сервера, будут выданы IP-адреса имени www.google.com. То есть test.example.net. станет альтернативным именем для www.google.com.
Насколько я понял Вашу ситуацию, Вам необязательно нужно создавать субдомен, достаточно записей sub.example.net CNAME na-west1.surge.sh. и www.sub.example.net CNAME na-west1.surge.sh.. Если же Вам делегирован только субдомен и нельзя создавать произвольные записи, то можно найти dns-хостинг, полно их бесплатных.

судя по всему у Вас нет веб-сайта или еще чего для чего Вы покупали домен
пусть провайдер ставит свои адреса, когда нужно будет Вы егео попросите сменить на нужный

Ряд моментов Вы уже сделали, но я все равно их опишу для полноты списка.

1. Создать отдельного пользователя и хороший пароль на sudo. Не использовать больше root напрямую. Совсем.

2. SSH. Отключаем метод аутентификации по паролю. Если Вам не нужны другие методы, то их тоже можно отключить, оставив только publickey. Отключаем возможность аутентификации root'ом. Включаем использование только 2й версии SSH протокола.

3. Устанавливаем Fail2Ban и настраиваем чтобы после нескольких неуспешных попыток подключения по SSH банило по IP на длительное время. Кол-во попыток и время бана можно тюнить в меру своей паранойи. У меня, например, банит на час после 2х неуспешных попыток.

4. Iptables. Действуем по принципу "запрещено все, что не разрешено". Запрещаем по умолчанию весь INPUT и FORWARD трафик снаружи. Открываем на INPUT'е 22 порт. В дальнейшем открываем порты/forwarding по мере необходимости. Если у нас предполагаются сервисы на соседних серверах нужные только для внутренней коммуникации (Memcached, Redis, и т.д.), то открываем для них порты только для определенных IP. Просто так торчать наружу для всех они не должны.

5. Настраиваем автоматические обновления apt-пакетов. Уровень security. То есть так, чтобы обновления безопасности накатывались автоматически, но при этом не выполнялись обновления со сменой мажорной версии (дабы обезопасить себя от "само сломалось").

6. Устанавливаем ntpd. Серверное время должно быть точным. Также временную зону сервера лучше всего установить в UTC.

7. TLS (не SSL) используем везде где можем. Через Let's Encrypt получаем бесплатные валидные сертификаты. В конфигах веб-серверов, mail-серверов, и других приложений торчащих наружу (в том числе и OpenVPN), запрещаем/убираем использование слабых шифров. Все ключи/параметры генерируем не менее 2048 бит. Самоподписные сертификаты подписываем с помощью SHA-256 (не SHA-1). Diffie-Hellman параметры (dh.pem) под каждый сервис лучше сгенерить отдельно. Проверяем TLS сервисов через Nmap. Минимальный grade должен быть A, не должно быть warning'ов.

8. Правильный менеджмент пользователей/групп. Приложения/сервисы не должны запускаться под root'ом (разве что они действительно этого требуют и иначе никак). Для каждого сервиса создается свой пользователь.

9. Если предполагается upload файлов через PHP (либо другие скриптовые языки), в директории, куда эти файлы загружаются (и которая доступна снаружи), должно быть жестко отключено любое выполнение скриптов/бинарников, что на уровне ОС (x права), что на уровне веб-сервера.

Это была база.
Дальше, в меру своей паранойи можно за'harden'ить сервер ещё следующими моментами:
- SELinux, chroot
- доступ к SSH только с определенных IP (нужно иметь 3-4 VPN-сервера под рукой)

UPD И да, все это помнить/настраивать руками каждый раз может быть запарно. Используйте Ansible и автоматизируйте процесс (там родные и YAML, Jinja2 и Python).