pfg21

Работает - не трогай !!
побуду за КО

1. исправление старых багов и пополнение новыми багами :) (тупой ответ, согласен)
3. номинально будет, как повезет. больше будет косяков с новыми версиями.
К примеру в 16.04 внедрен systemd, и почему-то не у всех демонов под него есть конфиги :-/

если сервер "не тяжелый", и его, для теста, можно поднять на другом.оборудовании, то скопируй, обнови, проверь на работоспособность сервисов, заодно все и прочувствуешь.

не все утилиты могут обновлять в рамках какого-либо региона.

Один из вариантов решения: обновлять как обычно, а раз в несколько дней обрезать все данные выходящие за пределы интересующего района.
Плюс: инструментарий весь в наличии и качественно отработан.
минус: будет набираться оверхед данных, но он не сильно большой. и будет необходимость учитывать в рабочих скриптах данные за пределами интересуемых участков.

монтируешь сетевой ресурс, предоставляемый nas'ом, как папку в томато и прописываешь торренту как хранилище, он заливает в нее, даже не зная где она.
монтировать папку лучше через NFS, твой nas судя по описанию умеет.

в /etc/ssh/sshd_config прописать
DenyUsers или DenyGroups

вырезка из man sshd_config

DenyUsers
This keyword can be followed by a list of user name patterns, separated by spaces. Login is disallowed for user names that match one of the patterns. Only user names are valid; a numerical user ID is not recognized. By default, login is allowed for all users. If the pattern takes the form USER@HOST then USER and HOST are separately checked, restricting logins to particular users from particular hosts. The allow/deny directives are processed in the following order: DenyUsers, AllowUsers, DenyGroups, and finally AllowGroups.

Аппаратный модуль сетевой карты принимает пакет во внтуренний буфер и сигнализирует програмному драйверу что есть новый пакет данных.
Драйвер считает CRC пакета и сравнивает его с числом в MAC-заголовке пакета, если не правильно пакет запрашивается заново.
Также сравнивается МАС-адрес получателя из заголовков с МАС-адресом данного сетевого порта, при не совпадении пакет удаляется (это можно отключить).
Далее у пакета "срезается" МАС-заголовок и драйверам TCP/IP сети сигнализируется, что есть новый пакет.
драйвер сети пропускает пакет через "жернова" фаервола - допустим все ок.
по номеру порта получателя в IP-заголовке выбирается куда данные дальше передавать.
заголовки IP-пакета срезаются и данные заливаются в кеш TCP-сокета.
Оттуда его забирает браузер и дальше издевается.

Объяснение дано корявым языком на немытых пальцах, прошу сильно не плюваться :)
более умно смотреть к примеру здесь