mhogolikii

Начните с малого, сотрите все правила из Firewall.

1) Разрешите формард пакетов в системе между интерфейсами.
cat /proc/sys/net/ipv4/ip_forward - тут должна быть единичка (1).

2) 10.0.1.1 должен быть как GW 10.0.1.2 иначе трафик надо маскарадить через SNAT.

3) Добавьте правилось проброса порта
-A PREROUTING -i enp0s3 -p tcp -m tcp --dport 8080 -j DNAT --to-destination 10.0.1.2:80

4) Добавьте правило маскара, что бы маскарадить ответы от 10.0.1.2.
-A POSTROUTING -o enp0s3 -j MASQUERADE

Когда у Вас получится рабочий минимум, можете добавлять остальные правила.
П.С. Исходящий трафик (OUTPUT ) фильтруют параноики)

Хорошая картинка для понимания работы iptables

Во-первых, смущаться бесплатности в данном случае нет смысла. Посмотрите, кто выступает организаторами и спонсорами проекта Let's Encrypt. Там прямо на главной таблица из логотипов. Но стоит понимать, что этот проект рассчитан скорее на тех людей, которые обычно не покупают SSL-сертификаты и делают свои небольшие проекты. То есть, его задачей является покрытие шифрованием тех проектов, которые сейчас не шифруют соединения.
Но тут же стоит заметить, например, что wildcard они пока не решились выдавать (причина).
И учитывайте, что их сертификаты выдаются на 3 месяца и их надо обновлять (это делается автоматически по CRON, например).

Во-вторых, reg.ru - это не лучший выбор места, где брать сертификаты. Лучше выбрать зарубежные CA. Либо зарубежных реселлеров. Например, очень недорогие платные сертификаты есть у GoGetSSL. Также часто бесплатные или недорогие сертификаты дают при покупке домена или отдельно разные регистраторы (name.com, namecheap.com).

UPD: Let's Encrypt уже выдают сертификаты Wildcard. Вкупе с такими штуками как acme.sh, где поддерживается работа с DNS кучи провайдеров всё стало гораздо проще.

При использовании SSL на SMTP в некоторых случаях будет fallback на протокол без шифрования, если отправляющая сторона не принимает самоподписанный сертификат. Это не частный случай, т.е. обычно релеи не проверяют сертификат. Но в любом случае это лучше чем совсем без SSL.
+ придется устанавливать свой сертификат в список доверенных на всех клиентах.