Михаил Васильев

SSL к IP прикрутить нельзя, это противоречит RFC.
Покупайте домен и прикручивайте к нему.
Готовые сборки есть, например вот:
https://github.com/evertramos/docker-wordpress

Вот тут есть варианты.
https://github.com/ONLYOFFICE/docker-onlyoffice-ne...

https://high-cloud.ru/ustanovka-ssl/

https://vestacp.com/docs/#config-log-location-debi...

Vsftpd	/etc/vsftpd.conf	/var/log/xferlog
                                /var/log/syslog

Это оверхэд.
Просто настройте на беке доступ с ИП фронта, всех остальных ограничьте и все.

Я понимаю, что ответ не совсем по теме, но именно из-за похожих причин я отказался от nginx в качестве реверса.
Устал настраивать.

Советую traefik, день потратите на изучение и забудете эти конфиги как страшный сон:
https://habr.com/ru/post/508636/

https://community.torproject.org/onion-services/setup/

Судя по офф мануалу файлы тут:
ls /var/lib/tor/hidden_service/

Ответ тут:
https://docs.docker.com/engine/install/linux-posti...

expose не открывает порт.
Запускать нужно добавив к docker run ключ:
-p 80:80

Читайте официальные мануалы
https://webinoly.com/en/documentation/sites/

Custom SSL Certificate
Bring your own Cert!

You can add your own cert of any third-party vendor or your preference.

sudo site example.com -ssl=on -ssl-key=/path/cert.key -ssl-crt=/path/cert.crt -ssl-ocsp=/path/cert.pem
The -ssl-ocsp parameter is optional for OCSP support.

Прочитать, что такое DNS.
Подумать, откуда ваш браузер должен знать IP адрес mysite.local
Прописать в hosts
127.0.0.1 mysite.local
Проверить.

Все у вас хорошо:
https://ping-admin.ru/free_test/result/1574355916w...

Сайт лично у меня открывается нормально, проблема на стороне domaintools.com
Их чекер не умеет в TLS 1.3 вот и вся причина 500 при проверке.

Для чего nginx в этой схеме чем не устраивает обычный форвардиг портов?
Аля:

iptables -t nat -A PREROUTING -p tcp -d 1.2.3.4 --dport 2022 -j DNAT --to-destination 3.4.5.6:22
iptables -t nat -A POSTROUTING -p tcp -d 3.4.5.6 --dport 22 -j SNAT --to-source 1.2.3.4:2022