Dmitry Tallmange

Любой порядок: хоть EoIP внутри IPSec, хоть IPSec внутри EoIP. Разницы в производительности нет. Это будет работать одинаково медленно.

NoMachine. Лучший комплекс. В бесплатной версии может работать только один пользователь. И работать будет чудесно.

Order deny,allow
Deny from all
Allow from 127.0.0.1

Эта конструкция сделала недоступным ваш хост ниоткуда, за исключением себя же. То есть зайти на свои сайты и PHPMyAdmin вы можете только с этой машины. И больше ниоткуда.

Управляющий скрипт, ставящий задачи в очередь на celery. Воркеры берут адрес, логин и приватный ключ, идут на микротик, делают полный бэкап, скачивают на указанный (свой) хост, записывают в базу информацию о бэкапе. При необходимости в один клик можно заставить систему накатить бэкап на любой указанный тик. Сеть из 126 тиков разных конфигураций.

Tcpdump, wireshark

Если очень коротко, только для направления «копания»:
1. OpenLDAP на debian/ubuntu/any linux в качестве хранилища БД ldap (типа контроллер домена).
2. На всех клиентских Linux/Unix машинах включаете поддержку авторизации/аутентификации через ldap.
3. Запускаете Samba-сервер, CIFS умеют и Windows, и Unix/Linux.

Ставите прокси, например squid. Закрываете доступ в интернет напрямую, настраиваете браузеры всех пользователей на работу через прокси. Крутите запрещающие/ограничивающие правила как душе угодно.

Вернуть squid, с авторизацией пользователей.