Надо вынести все внутренние ресурсы на отдельный server nginx, чтобы был доступен только внутри VPN. Моя связка из двух серверов показала достаточную стабильность, чтобы держать VPN поднятым 24/7