Константин

Год назад ты получил квалифицированный сертификат в ФНС с маленьким нюансом. В тот период действовал эксперимент по выдаче сертификатов со встроенной лицензией крипто про, т.е. ты можешь использовать этот сертификат на любом рабочем месте, где установлен крипто про без оглядки на то, есть ли на этом рабочем месте лицензия на программу.

Сейчас ты хочешь записать на этот же токен ещё один квалифицированный сертификат. Опустим вопрос конфиденциальности сертификата - дело ваше.
По всей видимости, удостоверяющий центр, который выдает сертификаты, не умеет выдавать сертификаты со встроенной лицензией, поэтому предлагает приобрести лицензию на рабочее место. Либо именно его и предлагают оплатить, просто вы не можете понять друг друга в диалоге (без документов сложно предположить, что именно тебе предлагают).
Это никак не повлияет на работу твоего первого сертификата, но обеспечит работоспособность второго сертификата.

Наличие аппаратного скзи на рутокене 3.0 никак не влияет на работу сертификатов в гос.системах (за исключением ЕГАИС). Это исключительно твое заблуждение.

В сухом остатке, никто тебя не пытается нагреть, просто есть недопонимание.

С OpenVPN это сделать сравнительно легко — у него имеется встроенное средство переназначения сетей.

--client-nat args
        This pushable client option sets up a stateless one-to-one NAT rule on packet addresses (not ports), and is useful in cases where routes or ifconfig settings pushed to the  client  would
        create an IP numbering conflict.

        Examples:

            client-nat snat 192.168.0.0/255.255.0.0
            client-nat dnat 10.64.0.0/255.255.0.0

        network/netmask  (for  example  192.168.0.0/255.255.0.0) defines the local view of a resource from the client perspective, while alias/netmask (for example 10.64.0.0/255.255.0.0) defines
        the remote view from the server perspective.

        Use snat (source NAT) for resources owned by the client and dnat (destination NAT) for remote resources.

        Set --verb 6 for debugging info showing the transformation of src/dest addresses in packets.

А с другими типами — использовать ядерное переназначение через iptables/nftables: DNAT/SNAT, NETMAP.

Нет. меняйте подсеть в одном из офисов. иначе будут проблемы