SagePtr

Слушать внутренний nginx (который на 5000 порту) должен тоже по TLS, ему прилетит полная TLS-сессия

Вешать на 8888 сам nginx не надо, вместо этого лучше проксировать через директиву proxy_pass

Смотря какой метод использовать для подтверждения.
https://letsencrypt.org/docs/challenge-types/
Если подтверждать методом HTTP-01, то нужен 80 порт обязательно.
Если методом DNS-01 - сервер вообще не нужен, но нужно настроить на NS-сервере, чтобы certbot мог с ним взаимодействовать и вносить записи, а также поискать для certbot плагин для работы с API вашего NS-сервера.
За метод TLS-ALPN-01 не скажу, не пробовал, да и многие веб-серверы его не поддерживают, поддерживает ли ваш - не в курсе.

Вы на 443 порту пытаетесь раздавать обычный HTTP без SSL

При том конфиге, что вы показали, сайт не может работать через http, возвращая что-либо отличное от 404 или редиректа. Вероятно, в конфиге есть и другие секции server, имеющие больший приоритет, чем те, которые вы продемонстрировали.
Полный конфиг, получаемый командой nginx -T, в студию.

Для Windows 7-8: https://support.microsoft.com/en-us/topic/support-...
В Windows 10 проблемы не должно быть, там обновления принудительные (если не сломали их сторонними средствами).

Если сервер под вашим контролем - можно использовать бесплатный letsencrypt, к примеру. Ну а если не под вашим - то жрать, что дают, либо смотреть, может быть возможность использовать letsencrypt там всё же есть (не всегда очевидная и не всегда удобным способом).

Чтобы удостовериться, что свою долю ключа сгенерировал именно сервер, а не человек посередине, который для клиента может притвориться сервером, а для сервера - клиентом, и слушать между ними трафик.

Сертификат нужен для того, чтобы удостовериться, что данные зашифровал/подписал именно владелец этого сертификата, а не левая сторона. По содержимому ключа неизвестно, кому именно этот ключ принадлежит, а лично спросить у человека, действительно ли принадлежит ему такой-то ключ, обычно затруднительно, потому к ключу и прикрепляют сертификат, подписанный стороной, которой обе стороны доверяют.

Если у вас шаред-хостинг, а не VPS, то в популярных панелях управления давно уже есть плагин Letsencrypt, позволяющий автоматизировать процесс. Если там панель годами не обновлялась или какая-то самописная, то возможно, что подобного пункта в панели управления не будет. Касательно платности - это какой-то сюр, Letsencrypt сам по себе бесплатен, да и предполагает автоматизацию процесса (вероятно, бесплатный серт на год - это от другого вендора, который там использовался до повсеместного внедрения LE).

На бесплатных хостингах даже SSL часто не бывает, а вы про Lets Encrypt.

При перевыпуске сертификата старые не отзываются, потому достаточно просто выпустить на новом, на старом останется.

Получать на одном, на остальных через rsync подгружать изменения, к примеру.
Единственное, нужно помнить, что в том же letsencrypt сертификаты в папке live - это символьные ссылки, потому rsync нужно как минимум с ключами -L -K запускать.

Центр сертификации создать и настроить. Но никто не будет верить вашим сертификатам, кроме тех компьютеров, на которых внесёте ваш корневой сертификат в список доверенных (это удобно делать в рамках предприятия, если корневой сертификат распространять через групповую политику, для внутренних ресурсов, доступных только изнутри организации, извне - никто доверять не будет).