Спасибо, гляну , но ведь если я закрою " только для тех кто в ВПН" сертификат мне уже не дадут) на домен)
один раз в 3 месяца открывай, обновляй серт и закрывай обратно. либо через api cloudflare можно получать, даже если закрыт доступ, но тогда NS записи DNS нужно на cloudflare переносить