paralolik

Обыкновенно. Заводите конфиг с proxy_pass до того, другого сервера, подсовываете ему в заголовке Host оригинальный домен - и готово.

Это решение работает в MariaDB:

CREATE TABLE images (
  image_id INTEGER AUTO_INCREMENT PRIMARY KEY, 
  filename VARCHAR(255) NOT NULL UNIQUE
);

CREATE TABLE tags (
  tag_id INTEGER AUTO_INCREMENT PRIMARY KEY, 
  tag VARCHAR(255) NOT NULL UNIQUE
);

CREATE TABLE images_tags (
  image_id INTEGER NOT NULL, 
  tag_id INTEGER NOT NULL, 
  PRIMARY KEY (tag_id, image_id), 
  FOREIGN KEY (tag_id) REFERENCES tags(tag_id),
  FOREIGN KEY (image_id) REFERENCES images(image_id)
);

Здесь вы можете протестировать SQL запросы

Cannot allocate memory

Запутанная формулировка вопроса. То ли приведённые правила у вас на роутере, то ли эти правила на первом сервере...
Но в двух словах - гуглите по словам "hairpin NAT".

при обращении с первого компа на второй, вы обращаетесь прямо ко второму компу, а не к роутеру, поэтому проброс порта на третий комп со второго компа, нужно настраивать непосредственно на втором компе

Вы все правильно сделали все что вам нужно выдать новые или старые сертификаты проксирующему серверу
если вы выдадите самоподписанные и подпишите име то все будет работать
бэк будет работать со своими фронт со своими, конфликта не будет
Мало того если на фронте вы используете LetsEncrypt сертификаты то домен будет так же доверительным вне зависимости от бэка который может быть вообще на 80, но я бы так не рекомендовал.

Если у вас доверительный сертификат на бэке и вы хотите чтоб внешка была на нем-же то без вариантов вам нужно будет подтягивать сертификаты, это сделать достаточно легко, есть множество способов.
НО насколко я вижу у вас тут просто IP соответственно LE сертификат уже не пойдет.
А вот если бы вы сделали nextcloud .site.ru домен то можно было бы на него уже получить сертификат ( думаю сайт то у вас есть ?)
В таком случае сертификат получаете на фронте и проксируете куда хотите.