mureevms

Если кратко, то скопировать существующий конфиг и назвать его, пусть будет tcp.conf. Поменять в новом конфиге порт и протокол, и все остальное, что требуется. Затем перечитать конфиг systemd:
systemctl daemon-reload
Запустить новый экземпляр OpenVPN при помощи systemctl:
systemctl start openvpn@tcp.service
И не забыть его добавить в автозагрузку:
systemctl enable openvpn@tcp.service

OpenVPN всю дорогу умеет стартовать сам. При внедрении systemd стале еще проще, только надо знать нюанс. Заключается он в следующем:
Допустим, есть файл конфига /etc/openvpn/my-super-config.conf, тогда запускать надо:
systemctl start openvpn@my-super-config.service
Ну и разрешить автоподнятие при старте системы, если еще не разрешено:
systemctl enable openvpn@my-super-config.service

Надо пушить только этот IPшник на клиентов. Для этого в конфиг сервера добавить строку:
push "route 10.8.0.5 255.255.255.255"

Ну и, если есть, удалить эту:
push redirect-gateway def1

easy-rsa можно не ставить, это просто набор скриптов. Возьмите их в репе OpenVPN https://github.com/OpenVPN/easy-rsa/archive/master.zip:

wget https://github.com/OpenVPN/easy-rsa/archive/master.zip
unzip master.zip

Затем
Перейти в каталог easyrsa3 и объявить для него переменные:

cd ~/easy-rsa-master/easyrsa3
cp ~/easy-rsa-master/easyrsa3/vars.example ~/easy-rsa-master/easyrsa3/vars

Инициализировать PKI (Public Key Infrastructure — Инфраструктура открытых ключей):
./easyrsa init-pki
Создать корневой сертификат. Обязательно ввести сложный пароль и Common Name сервера, например my vpn server:
./easyrsa build-ca
Создать ключи Диффи-Хелмана:
./easyrsa gen-dh
Создать запрос на сертификат для сервера OVPN. Обращаю внимание, что сертификат будет незапаролен (параметр nopass), иначе при каждом старте OpenVPN будет запрашивать этот пароль:
./easyrsa gen-req vpn-server nopass
Создать сам сертификат сервера OVPN:
./easyrsa sign-req server vpn-server
Скопировать полученные ключи в рабочий каталог openvpn:

mkdir -p /etc/openvpn/keys
cp ~/easy-rsa-master/easyrsa3/pki/ca.crt /etc/openvpn/keys
cp ~/easy-rsa-master/easyrsa3/pki/issued/vpn-server.crt /etc/openvpn/keys
cp ~/easy-rsa-master/easyrsa3/pki/private/vpn-server.key /etc/openvpn/keys
cp ~/easy-rsa-master/easyrsa3/pki/dh.pem /etc/openvpn/keys

Создать «HMAC firewall» для защиты от DoS аттак и флуда UDP порта:

cd /etc/openvpn/keys/
openvpn --genkey --secret ta.key

Запустить openvpn:
/etc/init.d/openvpn start

Отсюда

Эта схема работоспособная?

Вполне.

Есть статья на Хабре с очень подробным описанием настройки CA и генерации ключей. Единственное, там используется не Windows, но если у Вас есть свой виндовый CA, то проблемы это не должно составить. Затем копируете созданные ключи и запускаете OpenVPN сервер.
Вообще, советую начинать настройку самого OpenVPN по моей статье, т.к. на хабре она сильно уж сложная и запутанная для начинающего.
Итого:
Что касается CA, ключей и сертификатов - смотрите статью на Хабре
Настройка OpenVPN - тут
Авторизацию в AD - тут

Ситуация совершенно нормальная. Чтобы перечитать конфиг, сервису надо дать такую команду. В Вашем случае он перечитывает при старте. Если рестарт не желателен, но перечитать конфиг необходимо - пользуйтесь релоадом:
/etc/init.d/openvpn reload