ky0

sudo update-ca-certificates -f

Если не хочется возиться со скриптами, попробуйте BounCA - это простецкая вебморда, делающая ровно то, о чём вы спрашиваете. Если же хочется - как правильно сказали выше, easy-rsa.

Веб-сервер ничего не генерирует, путь к ключу и сертификатам записаны у него в конфиге. Можно сгененировать приватный ключ и CSR руками с помощью openssl и подсунуть его certbot`у или в панель управления коммерческому УЦ.

Сертификат может быть доверенным, но не валидным из-за того, что он отдаётся не по тому имени.

Имхо, сейчас стало настолько просто выпустить нормальный сертификат через Let`s Encrypt, что геморроиться с самоподписанными могут только очень упёртые люди :)

Очевидно, потому что по айпишнику сертификат невалидный.

Придётся перекомпилировать браузеры. Оно вам надо?

Валидный сертификат без домена не получится. Соответственно, нужно либо брать откуда-то домен (думаю, что получить бесплатный третьего уровня не особенно сложно), либо использовать самоподписанный сертификат (не уверен, что это подойдёт в случае телеграм-бота).