Vitaly Karasik

Оставим в стороне защиту от атак, т.к. по-моему это нереально сделать без использования внешнего сервиса.
Остается
- мониторинг - советую подключить site24x7 или подобный сервис для мониторинга URL (включая время ответа) и самого сервера
- бэкап и восстановление - потренироваться в этом и дважды проверить что все работает
- sizing - поговорим подробнее

По данным переписи в регионе около 1 млн.чел, а в столице примерно 300 тыс.

Очевидно, что кол-во пользователей может быть от нуля до 100 миллионов (если вдруг весь СНГ набросится).
Как прикинуть возможное кол-во? Если можно найти аналитику аналогичных сервисов - отлично. Если нет - я бы взял с потолка базу в 100тысяч пользователей. Соответсвенно получим нагрузку в минуту-секунды. Осталось только просимулировать - с помощью готовых сервисов (loadimpact.com и т.п.) или готовых программ (gettaurus.org, Locust.io и т.п.).

Есть 2 пути:
1) всякие опен-соурс утилиты/системы, как вам уже сказали - jmeter, ab, ....
2) сервисы - для начала наверно полегче разобраться - https://loader.io/, https://app.k6.io/ и т.п.

Дело не в jMeter.
Любую утилиту можно запускать с одного компьютера, а можно с нескольких.
Обычно приходится запускать с нескольких просто потому что упираемся в ограничения одной машины.
Кстати, посмотрите на облачные сервисы типа loadimpact.com/, https://loader.io/ и т.п. - обычно они удобнее.

для сервера может стоять ограничение на кол-во запросов с одного IP

проверьте конфигурацию сервера и узнаете