Saboteur

в том-то и прикол, что
1) если нет выхода в интернет, то как клиенты своими браузерами к вам будут заходить?
2) если нет выхода в интернет, то где клиенты будут сами браузер брать и обновлять будут откуда?
3) В этом и заключается суть самоподписанных сертификатов - сами мучайтесь как их ставить клиентам. Или покупайте готовые сертификаты (либо бесплатный летс енкрипт), который уже встроен во все браузеры

В браузер встроены доверенные сертификаты, через которызх происходит валидация сертификатов на сайтах, на которые ты заходишь по HTTPS

Но сертификат можно использовать
1. для авторизации
2. для двухстороннего tls соединения (mutual tls)

Сертификаты не должны быть частью docker image, и должны монтироваться снаружи. Тогда обновление сертификата не будет требовать нового билда продукта.
Прокидывать снаружи их можно через mount
Тогда обновил сертификат на маунте и перезапустил контейнер.
Если жить в кубере/опенщифте - там сертификат можно в секрете хранить и монтировать как файл.

Покажите как вы создали сертификат и где прописан айпишник. Он должен быть в SAN поле

Представьте, что вы впервые в жизни видите компьютер с мышкой.
Как скопировать файл? Как догадаться что оказывается можно зайти в папку (что это?), как догадаться что для этого нужно навести курсор и нажать именно левую кнопку мышки да еще и два раза, да еще и быстро. Да еще и несколько раз, пока не зайдешь в нужную папку.
Как догадаться, что нужный файлик нужно перетянуть мышкой (да еще и догадаться что именно левой кнопкой), да еще и куда тянуть? Как догадаться, что можно открыть на рабочем столе сразу ДВЕ папки?
А еще ручки кривые, к мышке непривычные, в мелкие иконки попасть выходит не сразу, при нажатии кнопки мышка сама двигается, пока поймешь как скопировать файл, за это время успеешь пару файлов или папок куда-то переместить и даже нельзя посмотреть логи куда и что переместил.

Как вы видите, это простое действие на самом деле очень сложное, просто вы его изучили.

Также и с командной строкой - это не устаревший, а актуальный способ взаимодействия с компьютером, который активно используется при работе с удаленными серверами.
Советы простые - берешь и осваиваешь работу команд cd, ls, cp, mv, cat
пару часов должно быть достаточно, если потренироваться на какой-то виртуалке.

3.4 Форматы PKCS1 и PKCS8 это форматы только для ключей или для сертификата тоже?

https://en.wikipedia.org/wiki/PKCS

3.2 Отправить запрос получается только в том случае, если ключ указан в самом файле сертификата, то есть я их объединил в один файл и тогда запрос заработал. Почему по отдельности не работает?

Ну потому что TSL делается не по ключам, а по сертификатам с ключами. Например пара ключей не содержит информации о сроках годности и нет цепочки доверенных сертификатов чтобы проверить валидацию.

Но не успел я им ничего отправить, как они прислали мне новый сертификат. Как они его сгенерили без реквеста? Типа по старому реквесту? То есть реквест не имеет срока годности?

Генерация сертификатов для общения двух сервисов договаривается между разработчиками этих сервисов. Если вы используете самоподписанные сертификаты, то любой может сгенерить. Если вы используете один и тот же CA, доступный обеим командам, любая команда может запросить новый сертификат. Если вы работаете в разных компаниях, у каждой есть свой внутренний CA и процедура получения сертификатов, тогда они бы не могли сгенерировать новый сертификат, но раз смогли то у час не этот случай.

Но запросы при этом по этому сертификату отправляются с любого другого домена. Зачем тогда в сертификате вообще указывать домен, если можно отправлять запросы с любого?

Обычно сертификат лежит на сервере, который соответствует домену, а не на клиенте.
Вы же когда на google.com ходите по HTTPS, то можете это делать с любого компа, а не только с сервера гугла?

Вам нужно просто разобраться зачем у вас используются сертификаты - для TLS, для двухстороннего TLS или для авторизации.
Нужно разобраться как у вас проверяется валидация - может у вас просто стоит ignoreinvalidcert и все
Никто кроме вас в вашем приложении не разберется. Поднимите кого-то из тех, кто принимал архитектурное решение и выясните как у вас надо делать, и так и делайте. А то вполне возможно что у вас даже так как планировали сейчас не работает.

На крупных проектах просто делается столько сертификатов, сколько необходимо.
Если говорить про сеть внутри корпорации, просто создается свой CA и рутовый сертификат политиками раскидывается на все машины, и там хоть миллион сертификатов выдавай.

А вообще, ограничение состоит из двух частей - ограничение issuer, поищите другой CA, где нет такого ограничения. Например Comodo - лимит 2000.
Второе - это не все браузеры готовы грузить многокилобайтные сертификаты. Если у вас в результате сертификат будет больше 16 кбайт или 64 кбайта могут возникнуть разного уровня проблемы.

Для расшифровки, ключ уже должен быть на указанном ПК.
Нельзя передавать ключ для расшифровки вместе с файлом, иначе его любом сможет расшифровать.

Технически, продление сертификата ничем это и есть выпуск нового. Старый продлить нельзя.
Продлением может называться разве что клиентская услуга, но все равно сертификат выпускается новый.
Можете заранее уточнить у админа о продлении сертификата. Можно хоть сейчас через lets encrypt новый сделать.

Все должно работать.
Есть подозрение, что 2 года назад вы очень долго не обновляли версию Firefox.

В какой именно кронтаб файл вы ее прописываете?

В пользовательском crontab файле (который crontab -e), нет столбца для указания имени пользователя, это только для /etc/cron* файлов.

Вы уверены, что ключ нужен для авторизации, а не просто для установки ssl соединения?

Кем выдан их сертификат? Есть вероятность, что они используют самоподписный сертификат, поэтому и прислали вам открытый ключ, чтобы вы добавили его как доверенный вручную.

У вас в голове жуткая каша
Посидите спокойно часика полтора, почитайте википедию.

DNS - это доменная система имен.
Есть несколько видов записей.
A запись указывает для обычных ссылок (самая популярная)
MX запись для почты
есть алиасы для редиректов.

При попытке зайти на доменное имя, оно резолвится в конкретный айпишник.
фраза "какому днс принадлежит этот домен" звучит совершенно неадекватно.

Уже перейдя на конкретный айпишник, то есть подключившись к серверу по IP адресу, веб-сервер на этом IP адресе решает какой именно сайт отдать клиенту (если у него настроено несколько сайтов- virtualhosts)

То есть вам нужно настроить ваш домен так, чтобы вашдомен.com ссылался на IP адрес машины с веб-сервером. Если веб-сервер стоит на виртуалке, значит пробросить HTTP порты (80 и 443 для https) внутрь виртуалки.