Рамис

Не надо путать задержку и пропускную способность.

RTT - это задержка, измеряется в секундах (милли, микро)
То что измеряется в битах (байтах) в секунду - это пропускная способность.

Если очень грубыми сантехническими аналогиями, то задержка определяется длинной трубы, а пропускная способность - её шириной.

В сетях и на то и на другое влияет очень много факторов:
1. Количество узлов между отправителем и получателем. Больше узлов - больше задержка
2. Производительность этих узлов. Чем ниже производительность - тем выше минимальная задержка и меньше пропускная способность.
3. Нагрузка на каналы связи. При высокой нагрузке будет расти задержка, так как данные будут вставать в очередь (а может и не будут вставать в очередь - они вполне могут просто отбрасываться и тогда будет тот самый packet loss)
4. То, как эти узлы обрабатывают данные, которые через них проходят. Меньше всяких проверок - меньше задержка.
5. Физическая среда и физическая длина кабелей. Чем длиннее физический путь и чем хуже среда, тем выше задержка.
Скорость передачи сигнала в оптике, меди, и по беспроводу отличается.

Как будет влиять замедление от провайдера - сильно зависит от выбранной стратегии.
Может увеличится rtt, а может будет packet loss.

Через DNS FWD или address list

Функционально такой вирус создать конечно же можно, мало того, на linux все вышеописанное даже легче реализовать, за небольшим исключением.

В linux по умолчанию пользователь менее привилегирован чем в windows (особенно когда в windows по умолчанию запрос на повышение привилегий не выдается в большинстве случаев). Т.е. проблема не в создании приложения с нужным функционалом, а в заражении, т.е. его запуске.

Пример путей проникновения - win-way пути запуска их как скачал-запустил, например .AppImage образ, изначально в нем должна поддерживаться песочница, но большинство примитивных приложений что я смотрел типа чат для ИИ (chatbox тот же) - требуют для запуска необоснованное отключение песочницы.

Или к примеру смотришь, а приложение не запускается, требует suid флаг на бинарник,.. (тот же proton если запускать из lutris) и в лучшем случае ты нагуглишь инстуркции но никак не гарантии что после этого в систему не будет установлен троян.

Запуск приложений что в windows что в linux это вопрос ДОВЕРИЯ их разработчикам. Отличный пример rustdesk, опенсорс, но это приложение столько телеметрии отправляет (а в исходниках бинарники забиты) а еще на глюке начинает нагружать одно ядро процессора тупо в цикле ps запускать. Есть песочницы по типу snap/flatpak а так же штатно lxc, но интерфейс для их использования не для обывателя (нужно в консоли писать команды, с неудобной документацией по настройке прав доступа и т.п.) поэтому пока это не изменится, linux будет таким же дырявым с точки зрения простоты заражения как и windows.

Вы смотрите на совершенно бесполезный график. Смотрите на полезные.

Если у вас табличка с 10 индексами и к ней select * from foo where id = ? - то это минимум 11 AccessShareLock. Совершенно логично, что чем больше параллельно нагрузки - тем больше вы увидите AccessShareLock. И дальше куда с этим? Вот и получается совершенно бесполезный график. А задирание max_connections сделает только хуже.

Посмотрите график CPU, есть ли в принципе CPU свободный (помним что у вас наверняка есть HT, значит 100% утилизации недостижимы, реальный потолок окажется где-то в районе 70-90%)
Посмотрите графики латентности IO. Если проседает латентность чтения или записи под нагрузкой - то это будет причина замедления. СУБД очень чувствительны к латентности.
Дальше графики pg_stat_activity с разбивкой по state. Если растут idle in transaction - проверять как дела на приложении, а так же сеть.
Конечно, графики по pg_stat_statements. top5 запросов по времени выполнения, для начала.
И проверить наличие корреляции с графиком длительности самой старой транзакции.

SSE

Тем же, чем в любых других серверах - дёрганьем IPMI-метрик материнки. ОС, как бы, тут вообще ни при чём.

Просто берёшь пример из документации и меняешь строку chunks.push(e.data) на отправку blob'а в web-socket.

аналог Cloudflare (DNS proxy)?

1. Cloudflare не предоставляет подобных услуг. (Из связанного с DNS только обычный dns-хостинг)
2. DNS proxy не скрывает IP твоего сервера. Вероятно ты что-то перепутал.

Чтобы скрыть IP сервера нужен reverse-proxy, который реализуется, например, при помощи nginx.

Но на самом деле, вероятно, тебе нужно не просто скрыть IP, а ещё и снизить нагрузку на твоей сервер и защититься от ddos.

Достичь этого можно разными способами, но все они в том или ином виде являются reverse proxy.

1. CDN - в основном применимо, если тебе нужно отдавать много статических файлов - эта задача будет делегирована на сеть серверов провайдера

2. Application firewall (WAF) - чтобы сразу отбрасывать запросы от злоумышленников.

3. Load balancer различных сетевых уровней - чтобы распределить нагрузку по нескольким серверам

4. API gateway - если используешь микросервисы и хочешь за одним доменом спрятать много сервисов.

)как сейчас обстоят дела в сфере лицензирования Windows в компаниях(в т.ч. и госсекторе)?

Никак не обстоят. Старые контракты с помесячной оплатой действуют, новые приобрести невозможно. Отдел по продаже лицензий M$ в Softline закрыт, все манагеры переквыалифицировались на продажу софта под линух. Могут отрубить в любое время.

)Могут ли впаять штраф за использование нелицензированной Windows на клиентских арм в текущее время?

Если Вы из госсектора или КИИ - то вт это -
Указ #166 от 30.03.2022 - должны были уже вызубить наизусть :) Осталось полтора года. Правоприменительная практика сложится потом.

Если перевести сотрудников на отечественную ось, что посоветуете

"Отечественная ось" - понятие условное. В качестве таковой сейчас рассматривается обычно ось, которая входит в реестр минсвязи. Astra, Alt Linux (но не Simply! - он туда не входит!), RED OS, Calculate. Астра и альт - форки дебиана, редос - форк центоса, калька - форк генты. Все, кроме последней - для коммерческого применения - платные.

В качественной серверной ОС, что посоветуете из отечественного?

Понятие "серверная ось" - маркетинговое. Его придумала M$, чтобы драть денег. Серверной ось становится тогда, когда начинает быть сервером :)

Чем можно заменить KerioControl(

Пробовал ideco. Долго плевался - полное merde. Обычно лабают что-то костыльное - VPN на микротике, прокси на squid