Дмитрий

Приложение тебя спросило где Внутри контейнера ему разместить базу SQLite , ничего про твою внешнюю /media контейнер знать не знает.

Конфиг микрота бы - если уж он подозреваемый.
А то я могу например нафантазировать что это провайдер пытается перехватывать трафик и подделывать SSL сертификаты между тобой и сервером. (у меня кстати проводной мегафон так иногда чудил раньше - точнее их СОРМ оборудование, любой сайт отвечал с сертификатом *.megafon.ru).

последние месяцы в РФ активно воюют с Wireguard & OpenVPN, даже внутри страны. Так что нет никаких гарантий, что завтра _любой_ канал в России с WG & OpenVPN не приляжет внезапно насовсем (или на время).
Что на замену - статей на хабре было полно, тут тоже советов в каждой теме про VPN хватает. Гарантии что завтра не вырубят и замену - ноль.

все в одном , да на халяву - так не бывает. будет небольшой список, итак
мониторинг - Zabbix
инвентаризация и хранение информации - пусть GLPI
управление, администрирование - ansible .

P.S. 170 - это не много (когда ты знаешь хотя бы ansible).

правильнее сервис systemd нарисовать

При подключении клиента сервер опенвпн умеет выполнять скрипт. В скрипте можно с помощью iptables добавлять правило редиректа для этого конкретного клиента. Параметры клиента в скрипт передает сам сервер ( есть в документации к опенвпн ), параметры прокси можно брать например из базы.

Виктор, тут не очень сложно на самом деле, мы знаем ip , а это почти успех.
Смотри, думаю, надо будет просто добавить ip этого клиента в mynetworks (в редхатах это раньше был файл в папке /etc/postfix , как у дебианов не знаю, может просто переменная в конфиге main.cf). Далее пишем

smtpd_client_restrictions = permin_mynetworks, 
    ...

ну и ниже что там у тебя уже настроено, главное чтобы ДО директивы permit_sasl_authenticated.

вероятно кто-то не очень аккуратно вводит (или копирует) пароль..

Я просто оставлю ссылку на статью почему sslv3 должен быть отключен
https://blog.mozilla.org/security/2014/10/14/the-p...

надо смотреть настройки gitlab-runner , в докер-раннер должен быть прокинут сокет , вот так

volumes = ["/var/run/docker.sock:/var/run/docker.sock", "/cache"]

Ну и документация с примерами, по традиции https://docs.gitlab.com/ee/ci/docker/using_docker_...

в конфиге WG отсутствует раздел [Peer] , кроме того клиентского конфига мы тоже не видим.
Но даже это не все -
а ты уверен что это не Роскомнадзор? ) У меня (в моменты когда РКН лютовал) именно так 100% рабочий туннель себя вел - соединение есть, а трафик по туннелю не ходит.

Порты на хостсистеме должны быть разными

а клиенты в сети 10.0.0.0/24 знают про маршрут к 172.30.0.0/20 ?

база mysql ? попробую вот такой код в settings (обрати внимание на OPTIONS)

DATABASES = {
    'default': {
        'ENGINE': 'django.db.backends.mysql',
        ...
        'OPTIONS': {
                    'charset': 'utf8mb4',
                    'use_unicode': True, },
    },
}

https://shop.globalsign.com/ru-ru/ssl
Русский есть, висит плашка "Время обработки заказов и выпуска сертификатов для российских и белорусских клиентов увеличено." , и адрес электронной почты. Ниже - цены, в рублях. Как видим - никаких запретов. Бизнес.

настроить еще один виртуальный хост.
https://www.nginx.com/resources/wiki/start/topics/...

>> Доступ до главного домена работает, а вот контейнеры с поддоменами не работают, нет доступа.

вот отличный пример , как описывается редирект к subdomains для traefic